thái

Thông báo: chuyển blog sang Substack

2023-03-01T09:37:00.002-08:00

Mời mọi người ghé thăm trang mới: https://vnhacker.substack.com.

Hi vọng tôi sẽ có thời gian và cảm hứng viết đều hơn.

Vẫn còn sống

2023-02-22T16:23:00.000-08:00

Có vài người hỏi thăm (xin cảm ơn), nên tôi muốn chia sẻ nhanh vài cập nhật.

1/ Tôi vẫn còn làm ở Google, may quá chưa bị đuổi. Mà thật ra có khi bị đuổi sẽ tốt hơn :).

2/ Trong thời gian ngắn sắp tới tôi sẽ có một thay đổi lớn. Đây cũng là một phần lý do tôi không viết được gì trong thời gian vừa qua.

3/ Tôi đang tìm cách chuyển blog này sang vnhacker.substack.com, vì ở đó dễ quản lý mailing list hơn. Khi nào chuyển xong tôi sẽ thông báo. Đây là năm thứ 17 tôi viết blog này, lâu ghê không?

4/ Vừa rồi tôi có đến Stanford nói chuyện về mấy việc tôi đang làm. Ban tổ chức nói có hơn 130 người tham dự, phá kỷ lục của họ :). Tuần tới nữa tôi sẽ đến Snowflake để nói tiếp.

5/ Cuối tháng 3 tôi sẽ đi Tokyo dự Real World Crypto 2023, sau đó là Open Source Crypto Workshop, nơi tôi sẽ livestream "biểu diễn" săn lỗ hổng mật mã trong phần mềm mã nguồn mở. Sẽ rất vui!

6/ Tôi đang tìm người!

Tôi muốn tìm người làm red teaming, security engineering, digital forensics hay cryptography, ở đâu cũng được, làm việc từ xa. Tôi cũng cần người làm software engineering và product/project management, ở Sài Gòn.

Tôi có tiêu chuẩn rất cao, nhưng công việc thú vị, lương bổng hấp dẫn, nhiều cơ hội phát triển. Làm trực tiếp với tôi. Ai hứng thú vui lòng gửi resume về thaidn@gmail.com.

Nói chuyện tại Hội đồng Lý luận TW

2022-10-17T00:56:00.010-07:00

Hồi cuối tháng 8/2022, nhân dịp đang ở Hà Nội, một người bạn mời tôi đến Hội đồng Lý luận TW nói chuyện về an ninh mạng.

Ban đầu tôi không muốn đi, vì thật sự tôi không biết chỗ này. Tôi chỉ có bấy nhiêu thời gian, gặp người này sẽ không gặp người khác.

Khi bạn tôi giải thích đây là cơ quan gì, tôi thấy khá tò mò. Tôi vốn thích cà rỡn, nhất là ở những nơi nghiêm trang. Một người "không hiểu gì về chính trị" như tôi lại đi "giảng" ở một nơi "tham mưu cho Đảng về các vấn đề lý luận chính trị", nghĩ đến thôi đã thấy mắc cười, thế là quyết định đi.

Tôi nghĩ chỉ là một buổi họp nho nhỏ, vài người thôi, ai dè đến nơi mới thấy có khoảng 50 người. Tôi được xếp ngồi vị trí chủ tọa, một mình trên cao nhìn xuống các vị giáo sư, tiến sĩ, (cựu) quan chức cấp cao. Họ còn làm cả bảng tên cho tôi, chữ vàng trên nền đỏ.

Mới đầu tôi thấy ngại quá trời, nhưng khi ngồi xuống không biết vong bí thư ở đâu nhập về, tự tin hơn hẳn, nói không ngừng gần hai tiếng đồng hồ.

Tôi nói về tầm quan trọng của không gian mạng, nhắc lại đánh giá của ông Thomas Vallely rằng sự xuất hiện và tồn tại của một không gian Internet tương đối tự do là một Đổi Mới thứ hai; rằng đối với an ninh quốc gia, không gian mạng quan trọng không kém gì Biển Đông, nếu không muốn nói là hơn.

Tôi giải thích tại sao Việt Nam đang trở thành miếng mồi ngon của tội phạm quốc tế và những nhóm hacker do các chính phủ tài trợ.

Tôi đưa ra bằng chứng cho thấy các điểm yếu trong những hệ thống mạng máy tính trọng yếu đang tạo thành một rủi ro mang tính hệ thống cho cả nền kinh tế và an sinh xã hội.

Tôi bàn về một số giải pháp về mặt chính sách, chẳng hạn như tại sao Việt Nam phải sớm thông qua luật về breach notification, tức là công ty, tổ chức nào bị hack ảnh hưởng lớn đến người dân thì phải thông báo đại chúng.

Tôi thấy quan khách lắng nghe chăm chú, tập trung ghi chép và cũng đặt nhiều câu hỏi. Họp giữa trưa mà không ai ngủ gật, mô phật!

Tôi không chắc họ đồng ý với tôi, nhưng ít ra họ cũng tôn trọng, chứ không như vài nơi mời tôi đến xong họ chỉ chằm chằm nhìn điện thoại từ đầu tới cuối.

Cuối buổi có màn giao lưu, chụp hình, tặng quà. Một ông công an nói "được đấy, mai cậu đi ăn tối với tớ" (tôi từ chối vì đã có hẹn trước), còn một ông ngoại giao thì cười nói "rất hay, thích nhất là cậu nói chuyện rất ngoại giao" (không biết ổng có biết Tôi và Sứ quán?).

Họ tặng một chiếc bình. Không biết có muốn nhắc nhở gì về chuyện ném chuột không? Bạn tôi nói lẽ ra còn có phong bì, nhưng bạn tôi đã cản, vì "các anh không có đủ tiền trả cho nó đâu".

Chuyện ngoài lề: rốt cuộc sau đó một vài ngày, trong một hoàn cảnh khá buồn cười, tôi cũng nhận được một phong bì. Lẽ ra tôi không nên nhận, nhưng lại tò mò. Về nhà mở ra thấy mấy tờ tiền đô mới cứng.

Bạn tôi nói trời ơi anh đi gặp quan chức toàn phải cho phong bì, em ngon thật đó! Tôi cũng muốn giữ làm kỷ niệm, cũng không bao nhiêu tiền, nhưng rồi quyết định đem trả vì mắc công phải coi luật của công ty có cho phép hay không (mà chắc là không).

Quay lại chuyện HĐLLTW, tôi thấy những vị này cũng chịu tiếp nhận thông tin và ý kiến mới, dẫu có thể khác với những gì họ đã cho là đúng.

Tôi chưa đến Trung Quốc, nhưng tôi nghe nói ở đó người ta không cởi mở như vầy đâu. Nếu đúng vậy thì đây là một điểm khác biệt rất hay mà Việt Nam cần phải giữ.

Một mình cân cả hai cựu thù. Bà con có đồng ý là nhìn tôi cũng mát ngầu?

Nói chuyện đại chúng: 05/09/2022 ở Đại học Bách Khoa Tp.HCM

2022-09-02T09:16:00.001-07:00

Sau khi nghe tôi nói muốn tổ chức một sự kiện ở Sài Gòn, nhiều bạn đã email ngỏ lời giúp đỡ. Kết quả là tôi sẽ đến nói chuyện ở Đại học Bách Khoa Tp.HCM từ 6PM đến 9PM, ngày 5/9/2022. Sự kiện do Grokking Vietnam và CyberSecurity Lab của ĐHBK tổ chức.

Sự kiện miễn phí, để tiện cho ban tổ chức, mời mọi người đăng ký ở đây: https://docs.google.com/forms/d/1-uZ09KRPwxdfKsf1PHmPInwp5TLXt6MKlbHRBbR52q0/. Ai muốn dự hãy đăng ký sớm. Hội trường có 200 chỗ ngồi, hiện tại đã có 150 người đăng ký.

Bài nói chuyện của tôi là một phiên bản mở rộng bài tôi đã nói ở Đại sứ quán Mỹ vào ngày 25/8/2022. Buổi nói chuyện này gặp sự cố kỹ thuật nên nhiều người dự online không thể nghe rõ. Không biết sao mic nào cũng ổn, chỉ có mic của tôi là không, kể cả sau khi tôi đã đổi mic mấy lần.

Lần trước tôi đến nói chuyện ở ĐHBK cũng gặp sự cố kỹ thuật. Hi vọng lần này sẽ suôn sẻ!

29/8/2022: Real World Crypto Day tại Hà Nội

2022-08-28T00:43:00.005-07:00

Sáng thứ hai 29/8/2022, tôi sẽ đồng tổ chức Real World Crypto Day tại Viện Toán Cao Cấp ở Hà Nội.

Sự kiện miễn phí, để tiện cho ban tổ chức, mời bà con đăng ký ở đây: https://viasm.edu.vn/hdkh/IACR-VIASM-School-2022?userkey=real-world-crypto-day.

Tôi mong chờ nhất bài của Phong Nguyen, chuyên gia hàng đầu thế giới về mật mã lattice. Mật mã lattice trở nên cực kỳ quan trọng khi vừa được NIST chọn làm tiêu chuẩn mã hóa hậu lượng tử. Đây cũng là chủ đề bài nói chuyện của Phong.

Nếu bạn muốn biết thế giới sẽ mã hóa dữ liệu như thế nào trong 5-10 năm tới, hãy đến nghe Phong nói chuyện. Thậm chí nếu không quan tâm đến mật mã, bạn cũng nên đến để biết mặt anh rễ của Suboi.

Sau bài của Phong, Nguyễn Thời Mình Quân sẽ trình bày một số lỗ hổng mật mã trong các blockchain đình đám của thế giới. Quân đã được Ethereum Foundation trao thưởng 25.000 USD cho các phát hiện này. Quân cũng đã trình bày kết quả này ở hội thảo Black Hat Asia.

Tôi thích các công bố của Quân không phải chỉ vì kết quả, mà vì Quân còn giải thích cách làm, cách tư duy. Đọc paper giống như là đọc truyện, có thể thấy rõ tâm tư tình cảm, niềm vui và nỗ lực cống hiến của tác giả.

Buổi chiều Nguyễn Kim Trọng giới thiệu tính toán đa thành viên (multi-party computation). Nếu như ngoại giao là nghệ thuật của những điều có thể thì mật mã học là nghệ thuật của những điều không thể. Cái gì nghe có vẻ vô lý, không thể làm được, áp mật mã vào lại thành ra có thể. Tính toán đa thành viên là một vấn đề như vậy. Ví dụ như, làm sao để biết ai giàu hơn ai, mà không ai tiết lộ cho người kia biết mình có bao nhiêu tiền? Mời mọi người đến nghe bài của Trọng để tìm câu trả lời.

Sau đó là bài của khổ chủ. Một trong những vấn đề lớn của Việt Nam là thiếu vắng lực lượng thiết kế giải pháp bảo mật. Việt Nam có nhiều bạn hack và tìm lỗ hổng rất giỏi, ở đẳng cấp thế giới, nhưng hỏi sửa thế nào thì nhiều bạn sẽ ú ớ. Không phải do các bạn ấy dở, mà chẳng qua thị trường chưa có nhiều nhu cầu.

Bài nói chuyện của tôi xoay quanh việc thiết kế giải pháp cho các vấn đề bảo mật thường gặp. Tôi sẽ nói về những chủ đề hết sức nhàm chán nhưng cũng thiết thực khi triển khai mật mã trong đời thực, ví dụ như quản lý khóa, thiết kế API an toàn, v.v. Nếu còn thời gian tôi sẽ đi vào chi tiết một số vấn đề mà nhóm của tôi ở Google đã nghiên cứu như lưu trữ mật khẩu, key-commitment encryption, fast deterministic MAC, v.v.

Kết thúc là một buổi trao đổi bàn tròn có sự tham gia của Phong, Trọng và tôi. Tôi sẽ chuẩn bị trước một số câu hỏi cho Phong và Trọng, nhưng mọi người cũng có thể thoải mái đặt câu hỏi.

Hẹn gặp ở VIASM!

Việt Nam

2022-07-28T01:47:00.013-07:00

Đầu tháng 8, tôi sẽ đến Việt Nam tham dự/tổ chức những sự kiện sau:

1/ Ngày 2022-08-06 (có thể sẽ thay đổi), tôi đến nói chuyện, giao lưu với sinh viên trường Fulbright.

Gặp sinh viên là hoạt động ưa thích của tôi khi đến Việt Nam. Tôi đã đến Bách Khoa, KHTN, Học viện Kỹ thuật Mật mã. Tôi nghe nói sinh viên UIT cũng tính mời tôi, nhưng các thầy ở đó phản đối vì tôi quá... phản động. Tôi chưa bao giờ dám công khai chửi các thầy ngu như bò, mà sao đã bị ghép luôn tội phản động rồi. Không hiểu sao thầy bà vậy mà nhiều sinh viên UIT giỏi rứa?

Đây sẽ là một buổi gặp mặt mở, vào cửa tự do, có online và offline (sẽ xác nhận lại).

2/ Ngày 2022-08-25 tôi đến Đại sứ quán Mỹ ở Hà Nội nói chuyện với chủ đề "Lessons from years of hacking and defending Vietnamese banks".

Tôi bắt đầu để ý Việt Nam từ năm 2016, sau sự kiện các sân bay bị tấn công. Cùng với bé An, nghe đồn là truyền nhân của nhóm hacker huyền thoại Bé Yêu, từ đó đến nay chúng tôi đã cướp nhiều ngân hàng. Bài nói chuyện tổng kết những gì chúng tôi đã học được.

Đây là một hội thảo online và offline, phải đăng ký trước. Ai muốn dự vui lòng gửi email cho tôi ở địa chỉ thaidn@gmail.com.

3/ Ngày 2022-08-29 tôi đồng tổ chức Real World Crypto Day ở Viện Nghiên cứu cao cấp về Toán. Tôi cũng trình bày một bài với nhan đề "Shipping Cryptography at Scale" và tham gia buổi thảo luận bàn tròn với chủ đề "Crypto, Cryptography and Me".

Ngoài tôi ra còn có nhiều chuyên gia mật mã như Phong Nguyễn, Phan Dương Hiệu, Nguyễn Thời Minh Quân. Đặc biệt KHÔNG có Chủ tịch Liên minh Chuỗi Khối Việt Nam.

Trong khuôn khổ hội thảo, để đối trọng với Liên Minh Chuỗi Khối, nếu điều kiện thuận lợi, chúng tôi sẽ thành lập Liên Minh Chuối Khô.

Đây là một hội thảo mở, vào cửa tự do, chỉ có offline. Khi đến tham dự nhớ đem theo một trái chuối.

4/ Rất tiếc hai sự kiện chuyên môn đều ở Hà Nội. Tôi muốn tổ chức một sự kiện tương tự ở Sài Gòn, nhưng không có thời gian lo hậu cần. Ai giúp được xin vui lòng nhắn lại. Tôi cũng muốn gặp gỡ, giao lưu với các đội làm công nghệ trong nước. Xin vui lòng nhắn lại nếu có hứng thú.

5/ Trong một diễn tiến khác: trong một nỗ lực làm cho mình quan trọng hơn, tôi đã tự phong cho tôi một chức vụ mới:

Bằng chứng không thể chối cãi cho thấy tôi là đại sứ cao cấp trẻ nhất của Google.

Hẹn gặp nhé ở Sài Gòn!

Kể chuyện săn hacker giữa đại dịch

2022-07-12T16:14:00.003-07:00

Năm ngoái (2021) tôi nhận lời mời đến Hà Nội điều tra một vụ tấn công mạng có lẽ thuộc hàng nghiêm trọng nhất lịch sử Việt Nam. Dự án thú vị, nhưng cũng đầy khó khăn, nhiều thử thách. Có những thời điểm tôi không chắc mình có làm được gì không.

May là cùng làm với tôi có An Trịnh, một hacker trẻ siêu đẳng. An làm tôi nhớ một thời tuổi trẻ lê máy tính đi hack khắp nơi. Nhờ An và sự hỗ trợ của nhiều người khác không tiện nêu tên, cộng với rất nhiều may mắn, cuối cùng chúng tôi cũng làm sáng tỏ chuyện gì đã diễn ra, lần ra manh mối có thể dẫn đến thủ phạm.

Hơn hai tháng chiến đấu ở Hà Nội là một kinh nghiệm không thể quên, cho tôi nhiều ý tưởng mới, tạo ra một bước ngoặt trong sự nghiệp. Hôm nay tôi muốn chia sẻ một vài trải nghiệm của chuyến đi.

Vì lý do bảo mật, tôi không thể chia sẻ những thông tin cụ thể. Bài này chủ yếu ghi lại kỷ niệm, mừng một thành công nhỏ. Trong một bài tiếp theo tôi sẽ chia sẻ một số kinh nghiệm chung về điều tra xử lý sự cố.

"Vượt biên" ngược

Từ cuối năm 2020 tôi đã muốn đến Việt Nam thăm gia đình, nhưng tìm mãi không có đường về. Trong suốt 2020 và 2021, người cầm hộ chiếu Việt Nam không được phép tự do bay về Việt Nam trên các chuyến bay thương mại. Đành rằng đất nước còn nghèo cầm hộ chiếu Việt Nam không đi được nhiều nơi, nhưng lúc bấy giờ muốn quay về Việt Nam cũng không được luôn, tủi thân dễ sợ.

Nhưng đối với người Sài Gòn thì chỉ có đường không đi được, chứ làm gì có đường không được đi, thế là tôi nung nấu ý định vượt biên, nghiên cứu đủ mọi cách vào Việt Nam, qua Campuchia hay Trung Quốc. Tôi còn tính đến phương án đường thủy, nhưng coi bản đồ thấy California cách Việt Nam hơi xa, nếu bơi sẽ rất lâu mới vớt được xác nên lại thôi.

Còn đang phân vân thì một người bạn bất ngờ mời tôi điều tra một sự cố an ninh mạng. Việt Nam vẫn cho phép chuyên gia tự do bay đến Việt Nam, mà không cần chui qua “máy chém” của các lãnh sự quán. Với dự án này, tôi có thể đường hoàng nhập cảnh, nếu đủ tiêu chuẩn chuyên gia.

Là một kỹ sư cấp cao cao cao, lại từng đạt danh hiệu 12 năm liền học sinh giỏi, tôi nghĩ tôi đủ tiêu chuẩn. Ai dè họ yêu cầu phải có quốc tịch nước ngoài. Người Việt Nam không được phép làm chuyên gia hả ta!?

Cuối cùng sau mấy tháng làm hồ sơ, tôi đáp chuyến bay của Singapore Airlines từ San Francisco đến Việt Nam. Tôi chỉ được phép đến Hà Nội. Tôi nghĩ không sao, làm việc chừng 2-3 tuần rồi về Sài Gòn thăm gia đình. Rốt cuộc tôi kẹt ở Hà Nội đến hơn 2 tháng, mới đầu vì lockdown, sau vì dự án quá căng, tôi muốn tập trung làm cho tới cùng.

Hacker mũ gì?

Hy sinh 10kg xương mỡ cho Tổ quốc

Cách ly 7 ngày, ngoáy mũi 2 lần đau chảy nước mắt, được cấp giấy "ra trại" là tôi bắt tay vào việc luôn. Khảo sát hiện trạng, phỏng vấn những người liên quan, tôi nhận ra dự án lớn hơn tôi tưởng. Tôi nhờ bạn bằng mọi giá "ship" gấp An từ Sài Gòn ra.

An cách ly mấy ngày thì bắt đầu hành trình mỗi sáng xe đón tụi tôi ở khách sạn chở đến chỗ làm, ăn trưa ở đó luôn, tối mịt xe lại chở về. Sợ tôi trốn hay sao đó, mấy ngày đầu Công an quận Hoàn Kiếm cứ gọi điện cho khách sạn kiểm tra xem tôi có đi làm không.

Vài tuần đầu chủ yếu thu thập dữ liệu, còn khá thong thả, nên cuối tuần bạn tôi tổ chức đi chơi. Có tuần đi Hạ Long, xe chạy đến điểm kiểm soát COVID ở Quảng Ninh thì tất cả phải xuống xuất trình giấy tờ.

Vừa xem chứng minh thư của tôi và nghe giọng miền Nam, mấy anh kiểm soát viên hốt hoảng gọi ngay công an, "Anh ơi có ca này từ Sài Gòn mới ra nguy quá!". Cũng may sau khi tôi giải thích đầu đuôi câu chuyện, trình giấy "ra trại", họ cũng cho đi. An không đem theo giấy, may mà gọi được cho khách sạn chụp hình gửi.

Sau khi có đủ dữ liệu tụi tôi tăng tốc, cuối tuần làm luôn, mỗi ngày 12-16 tiếng. Lúc còn ở Mỹ tôi rất háo hức, nhưng khi bắt tay vào việc tự dưng lo, nhiều đêm không ngủ được. Kiểu như lúc ở hậu phương chỉ mong đến ngày ra trận nhưng ra đến mặt trận lại thấy lạnh chân.

Tôi nhận điều tra vụ này vì tôi nghĩ An và tôi làm được. Muốn săn hacker thì phải suy nghĩ như hacker. Chỗ này tụi tôi ổn, tổng cộng giữa An và tôi có hơn hai thập kỷ kinh nghiệm hacking. Tụi tôi cũng rất “ăn rơ", đã phối hợp thành công nhiều dự án quan trọng. Riêng sự cố này tôi nghĩ ít có ai phù hợp hơn, vì tụi tôi có nhiều kinh nghiệm làm việc trên các hệ thống tương tự.

Tôi chỉ lo bài toán quá khó, mà lại không có đủ dữ kiện để giải. Tôi có nghiệp vụ điều tra, An hiểu nghiệp vụ của các team hacker (TTP), nhưng kết quả điều tra phụ thuộc vào những việc nằm ngoài tầm kiểm soát của tụi tôi. Hiện trường có được giữ nguyên, bằng chứng có được bảo toàn, tụi tôi sẽ được cung cấp dữ liệu và thông tin gì, trình độ thủ phạm… sẽ quyết định tụi tôi có làm được gì không.

Có lẽ vì stress và vì đồ ăn Hà Nội quá ngon, tôi tăng gần 10 kg. Chưa bao giờ cấu hình của tôi khủng như vậy, nhìn cái bụng mà ngán thịt kho hột vịt luôn.

Hacker đang ở đâu về nhà gấp, mọi lỗi lầm tụi tao sẽ bỏ qua

Làm an ninh mạng chủ yếu là học từ sai lầm, tốt nhất là của người khác. Mỗi lần bị tấn công là một cơ hội tuyệt vời để rút ra bài học và những việc cần làm để không xảy ra những tấn công tương tự nữa.

Muốn vậy thì phải xác định được chính xác chuyện gì đã diễn ra, tức thủ phạm đã làm gì, ở đâu, khi nào. Không trả lời được câu hỏi này sẽ không thể tính toán đầy đủ thiệt hại và sẽ còn bị hack dài dài. Giống như buổi sáng ngủ dậy tự dưng thấy người đầy ghẻ mà chỉ đi bôi thuốc chứ không tìm nguyên nhân cốt lõi thì sẽ mãi hát bài Đêm Gãi Không Ngừng.

Trong vụ này, nạn nhân quyết tâm điều tra tới cùng. Đó là lý do tôi có mặt ở Hà Nội. Trước khi tụi tôi bắt tay vào việc, đội ngũ điều tra tại chỗ cũng đã thu được một số kết quả hữu ích, nhưng vẫn còn nhiều câu hỏi bỏ ngỏ. May mắn là tụi tôi sớm có những phát hiện giúp trả lời một số câu hỏi quan trọng, khiến tôi cũng bớt lo hơn. Ít ra mình cũng đã có đóng góp gì đó, không uổng công người ta tin tưởng.

Tụi tôi làm ròng rã 6-7 tuần thì cũng đã hiểu đường đi nước bước của thủ phạm. Tuy nhiên, tôi đoán nạn nhân rất muốn tìm được danh tính thủ phạm. Đây là một bài toán khó, tôi cũng nói từ đầu khả năng cao là không làm được, nhưng tôi hiểu tại sao họ mong muốn như vậy. Với sự cố lớn thì luôn có một câu hỏi khó chịu: liệu thủ phạm có phải người tay trong?

Thủ phạm khá lành nghề, là hacker chuyên nghiệp, khó có khả năng là tay trong, nhưng tất cả bằng chứng chúng tôi có cho đến lúc đó đều chưa đủ thuyết phục. An và tôi chia sẻ một niềm tin sắt đá rằng thủ phạm cũng là con người, mà đã là con người thì phải có sai sót. Tin thì tin như vậy, nhưng tìm mãi không thấy gì tụi tôi cũng chột dạ, nhất là lúc dự án đã kéo dài hơn dự kiến.

Làm điều tra nghe qua thì tưởng đuổi bắt, đấu trí với tội phạm như trong phim, nhưng kỳ thực công việc cực kỳ tỉ mỉ, mệt mỏi, dễ nản. Mò tìm bằng chứng trong mớ ta bà dữ liệu giống như mò kim đáy biển, 99% thời gian bỏ ra chẳng tìm được gì, 1% còn lại chẳng may lơ đãng là coi như công cốc.

Ngược lại, cũng có khi đang điều tra một vấn đề lại vô tình lượm được cục sình, tìm được lời giải cho một vấn đề hóc búa khác. Và tôi đã may mắn như vậy! Đang theo đuổi một hướng điều tra thì tôi nghĩ ra một cách liên kết sự kiện (event correlation) giúp phát hiện một manh mối quan trọng hacker để lại, có thể dẫn đến danh tính thủ phạm.

Lúc phát hiện ra sai sót của thủ phạm, tôi như người đi lạc trong rừng tìm được đường mòn, vừa mừng vừa lo. Mừng vì biết khả năng cao tụi tôi đang đi đúng đường, lo vì không biết lối mòn có dẫn vào đường cụt nữa hay không.

Cũng may nhờ An và sự hỗ trợ nhiệt tình của nhiều người khác, cuối cùng đường mòn cũng dẫn tụi tôi đến những phát hiện đột phá. Ít có gì hạnh phúc hơn khi ta chiến đấu hết sức vì một niềm tin rồi đạt được kết quả ngoài mong đợi.

Vị khách sộp ở Nguyễn Kim

Rốt cuộc tụi tôi đã phát hiện ra manh mối như thế nào? Cái này người ta hay trả lời là “bằng các biện pháp nghiệp vụ”. Tôi sẽ không thể chia sẻ chi tiết, vì lý do bảo mật, nhưng tôi có thể kể vụ án đầu tiên cho tôi ý tưởng điều tra này.

Chắc nhiều bạn đọc còn nhớ, cách đây mười mấy năm tôi làm bảo vệ cho một ngân hàng. Lúc bấy giờ khách hàng gọi điện lên báo mất tiền. Khi mở log ra xem, tôi thấy tiền của khách hàng bị chuyển đến tài khoản của cửa hàng điện máy Nguyễn Kim.

Gọi cho Nguyễn Kim họ nói sáng hôm đó có một người đàn ông đến hỏi mua một cái tivi, thuộc dạng mắc tiền nhất. Chuẩn bị thanh toán thì người này nói quên mang theo ví, nhưng nếu cửa hàng cho mượn máy tính họ sẽ chuyển khoản qua Internet!

Tay này thậm chí còn chuyển gấp đôi số tiền, nhờ cửa hàng trả lại tiền thừa, “đặng khỏi mất công chạy về nhà lấy tiền dằn túi”. Không muốn phật lòng khách sộp, nhân viên Nguyễn Kim làm theo rơm rớp.

Một nước cờ hết sức khôn ngoan của thủ phạm! Hắn muốn giấu tung tích, nên sử dụng máy của Nguyễn Kim để chuyển tiền. Đây là tâm lý chung của tội phạm: khi thực hiện hành vi phạm pháp, chúng sẽ cẩn thận xóa dấu vết, đảm bảo không có cách gì truy ra được chúng từ hiện trường vụ án. Vấn đề là đến lúc ra tay mới xóa dấu vết thì đã quá muộn.

Ít có ai có ý định phạm tội ngay từ đầu, mà thường trải qua một hành trình. Hành trình tội ác thường bắt đầu bằng việc thủ phạm vô tình nhìn thấy một cơ hội. Trong trường hợp này, thủ phạm vô tình nhìn thấy mật khẩu Internet Banking của một người đồng nghiệp.

Tò mò, hắn đăng nhập vào tài khoản của nạn nhân, thấy nhiều tiền, nổi lòng tham muốn chiếm đoạt. Rồi hắn cất công nghĩ ra một cách trộm tiền không để lại dấu vết, nhưng không biết rằng quá trình tìm hiểu tài khoản nạn nhân đã để lại bao nhiêu bằng chứng.

(Lúc đó, để tiết kiệm, ngân hàng không xác thực giao dịch bằng SMS, mà dùng một giải pháp rất tào lao… do chính tôi thiết kế. Thủ phạm cũng đánh cắp được tài khoản xác thực này của nạn nhân).

Tôi phát hiện ra tay thủ phạm bằng cách tìm những địa chỉ IP đăng nhập vào tài khoản nạn nhân, rồi tìm xem những địa chỉ IP này có còn đăng nhập vào tài khoản nào khác không. Sai lầm của thủ phạm là đã đăng nhập vào tài khoản của chính hắn, chỉ vài phút sau khi đăng nhập vào tài khoản của nạn nhân.

Vị khách sộp ở Nguyễn Kim giúp tôi rút ra được một quy luật: càng xa thời điểm thực hiện hành vi phạm pháp, thủ phạm sẽ càng bất cẩn. Để gia tăng cơ hội tìm được thủ phạm, phải điều tra toàn bộ hành trình tội ác của chúng, chứ không chỉ tập trung vào thời điểm chúng ra tay.

Thế thì làm sao biết được hành trình tội ác của đám hacker? Đây chính là lúc cần phải suy nghĩ như một hacker. An và tôi ngày nào cũng tự hỏi: nếu là đám hacker, tụi tôi sẽ làm gì tiếp theo?

Cuộc chiến còn dài, hacker còn nhiều

Đây không phải là lần đầu tôi đến Hà Nội săn hacker. Mười mấy năm trước tôi đã từng ăn dầm nằm dề cả tuần trong một khách sạn ở khu Cửa Bắc, luyện cuốn File System Forensic Analysis để tìm cách khôi phục dữ liệu trong một máy quay lén mã PIN ATM của bọn hacker Trung Quốc.

Đây chắc chắn cũng không phải là lần cuối. Không khó để hack, hack xong rồi chẳng mấy khi bị truy bắt, giới tội phạm nước ngoài đang nhìn Việt Nam như một miếng mồi béo bở. Đây sẽ là một cuộc chiến dai dẳng, nhưng chưa mấy cân sức. Việt Nam sẽ còn thua dài dài. Ai cũng muốn "chuyển đổi số", nhưng ít người hiểu được hệ lụy.

Cú phản đòn lần này mặc dù có thể không thay đổi gì nhiều cục diện, đối phương vẫn sẽ tiếp tục tấn công, nhưng tôi vẫn thấy rất vui vì ít nhất tụi tôi đã giúp Việt Nam gửi đi một thông điệp: ở đây tụi tao có người điều tra tới cùng, liệu hồn!

(còn tiếp: Làm điều tra sự cố là làm gì?)

Cảm ơn Ned Nguyễn và An Trịnh đã xem và cho ý kiến bản thảo.

Trò chuyện với VNPT Cyber Immunity

2022-05-30T15:47:00.002-07:00

Hồi đầu tháng 5 tôi đã có một cuộc trò chuyện khá thú vị với các bạn đến từ Trung tâm An toàn thông tin VNPT, nói về an ninh mạng và blogging.

Mời bà con lắng nghe qua các kênh sau:

Youtube: https://youtu.be/lAs-gfzpQhg

Spotify: https://open.spotify.com/show/6YJV5GYk5xTap3BXvfskno A

Apple Podcast: https://podcasts.apple.com/us/podcast/c%C3%B3-n%C3%AAn-t%E1%BA%ADp-trung-%C4%91%E1%BA%A7u-t%C6%B0-cho-an-to%C3%A0n-th%C3%B4ng-tin-khi/id1611481415?i=1000564186651

Một chuyến đi Boston

2022-05-19T20:38:00.003-07:00

Tuần rồi tôi nhận lời mời đến Harvard Kennedy School để dự sự kiện Thủ tướng Phạm Minh Chính phát biểu, đối thoại với các giáo sư và khách tham dự. Tôi hi vọng sẽ có cơ hội thông báo cho Mr.Chính và nội các biết tình hình an ninh mạng rất tệ ở trong nước.

Chiều thứ sáu 13/5/2022 tôi hạ cánh ở Boston. Tôi ở Charles Hotel, sát bên Harvard. Khách sạn đẹp, lịch sự, đắt lòi mắt. Tôi ăn tối với vài người bạn ở một nhà hàng có món risotto rất ngon trong khu Little Italy.

Tối đó tôi thức đến gần sáng để soạn câu hỏi. Thật ra tôi muốn phát biểu ý kiến, nhưng hội nghị chỉ cho phép khách tham dự đặt câu hỏi, tôi phải tìm cách biến ý kiến thành câu hỏi.

Câu hỏi của tôi hơi dài vì tôi muốn giải thích bối cảnh. Tôi chỉnh từng chữ, cuối cùng cũng tạm hài lòng. Coi đồng hồ thấy hơn 6h sáng. Đêm nay bác không ngủ, hi vọng ngày mai các bố sẽ không khiến bác ngủ bù trong phòng họp.

---

9h sáng thứ bảy, bạn tôi chở đến khu người Việt ăn sáng. Người mới từ Việt Nam sang khi đến các khu người Việt ở Mỹ chắc sẽ ngạc nhiên và thất vọng lắm. Ủa sao Mỹ mà quê quê, dơ dơ thế này? Không chỉ Boston, mà San Jose hay Westminster cũng vậy. Sài Gòn sang chảnh bao nhiêu, sang đến Little Saigon thấy giống như đi xuống miệt Chắc Cà Đao.

Tôi về lại khách sạn thì cũng đã giữa trưa. Hội thảo bắt đầu lúc 2h chiều. Ban tổ chức nói nên vô sớm để có chỗ ngồi và gặp những khách mời khác.

M. soạn sẵn một bộ đồ vest khá bảnh mua ở New York cách đây mấy năm, nhưng do quên nhờ khách sạn ủi nên rốt cuộc tôi mặc quần jean, một chiếc sơ mi mua ở Việt Nam cách đây 15 năm và một chiếc blazer mới được khách hàng tặng năm ngoái. Nhìn cũng được. Tôi muốn chỉnh chu hơn, nhưng tự nhủ quan trọng mình sẽ nói gì.

Khi tôi đến phòng hội thảo đã thấy lác đác vài người. Tôi chào xã giao, trò chuyện với một vài người. Tôi thấy một người nhìn rất quen mà mãi không thể nhớ là ai. Tôi tính đến hỏi, nhưng thấy hơi ngại nên thôi. Đến cuối buổi bác sĩ Nguyễn Lân Hiếu đến bắt tay, tự giới thiệu tôi mới nhớ. Bác sĩ Hiếu không phải là người duy nhất tôi thấy quen mà không biết là ai. Có khi tôi thấy họ trên TV cũng không chừng.

Hội trường có năm hàng ghế. Tôi ngồi ở hàng thứ ba. Hàng đầu và thứ hai dành cho đoàn của chính phủ. Lúc đoàn vào mới biết hàng đầu dành cho các bộ trưởng. Tôi đếm phải có hơn 10 bộ trưởng. Một người bạn mới quen nói nhỏ không biết họ đi hết thì ai ở nhà làm việc nhỉ. Có lẽ đây là một chuyến đi quan trọng của Việt Nam.

Ban tổ chức giới thiệu Mr.Chính là Thủ tướng thứ hai sau Mr.Phan Văn Khải đến phát biểu tại Harvard, trong đoàn còn có 6 vị bộ trưởng từng học ngắn hạn ở đây. Một anh nhà báo bình luận vậy thì phải xem lại chất lượng đào tạo của Harvard :-).

Chương trình học mà ban tổ chức nhắc đến có lẽ là Vietnam Executive Leadership Program. Tôi đã đến nói chuyện vào năm 2019. Năm đó tôi thấy đoàn Việt Nam và các giáo sư Harvard làm việc nghiêm túc, nhưng tôi không rõ tác động thế nào đến chính sách của Việt Nam. Mr.Nguyễn Văn Bình đi Harvard về là nghỉ hưu luôn.

---

Bài phát biểu của Thủ tướng khá dài, ý tưởng tôi thấy na ná bài phát biểu tại CSIS. Tôi không biết bài này quan trọng cỡ nào, nghe nói mỗi câu chữ đều có ít nhiều ý kiến của các thành viên nội các.

Tôi không có đủ chuyên môn để bình luận bài phát biểu. Về phong thái tôi thấy Thủ tướng có vẻ là người bộc trực, tự tin. Dường như ông ấy hơi mệt (do di chuyển nhiều?) và hơi thiếu chuẩn bị, bài phát biểu nhiều đoạn lặp lại, kéo dài hơn dự kiến.

Trước khi kết thúc, Thủ tướng nói đại loại như tôi đến đây chia sẻ chân thành, nghĩ sao nói vậy. Lúc đó tôi không hiểu sao Thủ tướng nói vậy, vì nghe có vẻ như Thủ tướng đang giãi bày. Sau hội thảo, xem đoạn video Thủ tướng tán gẫu với bộ sậu tôi mới hiểu.

Sau phát biểu của Thủ tướng là màn đối thoại giữa thành viên chính phủ và các giáo sư Harvard. Đại diện Việt Nam ngoài Thủ tướng có ông Nguyễn Chí Dũng (Bộ trưởng KHĐT), ông Nguyễn Hồng Diên (Bộ trưởng Công Thương) và bà Nguyễn Thị Hồng (Thống đốc NHNN).

Mỗi người được phát biểu 5’, nhưng màn này cũng nằm ngoài chuyên môn, nên tôi chỉ còn nhớ bà Thống đốc phát biểu xúc tích còn cựu bí thư Tịnh Xuyên có vẻ hơi đốp chát.

---

Sau cùng cũng đến màn tôi chờ đợi là đặt câu hỏi. Ai muốn đặt câu hỏi thì giơ tay, moderator là một vị giáo sư Harvard. Không biết đã có tiền lệ chưa, nhưng đây là lần đầu tôi dự một hội nghị mở với lãnh đạo cấp cao Việt Nam mà ai cũng được phép tự do đặt câu hỏi. Một tiến bộ đáng hoan nghênh.

Thủ tướng trực tiếp trả lời. Khi trả lời xong câu hỏi nào, Thủ tướng đều kết thúc bằng câu hỏi, “Không biết tôi trả lời vậy có được chưa/có đúng không?”. Tôi nghĩ đây là một thái độ cầu thị và khiêm tốn hiếm gặp ở các quan chức. Có những quan chức gặp gỡ chuyên gia với tâm thế biết tuốt, chỉ bảo đủ thứ.

Tôi nhớ nhất câu hỏi đầu tiên của một bạn sinh viên trẻ. Bạn hỏi Việt Nam sẽ làm gì để giải quyết vấn đề Trung Quốc xây đập làm biến đổi dòng chảy và lưu lượng nước sông Mekong. Du học sinh Harvard có khác, gặp lãnh đạo phải hỏi như vầy, chứ không chỉ tranh thủ khúm núm tươi cười chụp hình up Facebook.

Tôi hồi hộp giơ tay không biết mình có được chọn đặt câu hỏi không, nhưng rốt cuộc may mắn được chọn. Tôi xin lỗi trước vì câu hỏi dài, nhưng cũng bị moderator nhắc nhở hai lần, nên cuối cùng phải rút ngắn, không như ý muốn.

Tôi giới thiệu tôi là một hacker người Việt đang sống và làm việc ở Mỹ. Cùng với một vài đồng nghiệp rất trẻ, chúng tôi đã có thể xâm nhập vào nhiều hệ thống máy tính trọng yếu của Việt Nam, với sự đồng ý của người quản lý. Nếu chúng tôi làm được như vầy, tưởng tượng những nhóm hacker quân đội hay tội phạm có tổ chức sẽ còn làm được gì nữa.

Có lẽ chỉ là cảm nhận cá nhân, hay do tôi bị moderator nhắc, nhưng tôi thấy không khí trong phòng có vẻ căng thẳng hơn khi tôi nói đến đây. Một số tờ báo trong nước khi trích dẫn câu hỏi của tôi cũng bỏ qua ý này.

Tôi nghĩ câu hỏi dự kiến của tôi vui và hóc búa hơn, nhưng do bị nhắc hai lần, không thể trình bày hết ý, nên rốt cuộc tôi chọn một câu hỏi khá dễ, rằng liệu chúng tôi có thể giúp gì để nâng cao an ninh mạng cho Việt Nam.

Thủ tướng trả lời đại loại như nước nào cũng gặp vấn đề này (ý là Mỹ cũng bị hack hoài mà đòi đi giúp chúng tôi lêu lêu) và Việt Nam muốn được hỗ trợ hoàn thiện chính sách, đào tạo con người.

Sau tôi còn khá nhiều người giơ tay muốn hỏi, nhưng moderator bất ngờ tuyên bố kết thúc hội nghị, có lẽ do đã vượt thời gian dự kiến quá nhiều. Hình như chỉ có 4 người kể cả tôi được đặt câu hỏi, hơi ít.

Ban tổ chức yêu cầu mọi người ngồi yên chờ Thủ tướng và đoàn rời khỏi khán phòng mới được đứng dậy. Tôi thấy hơi tiếc, không hiểu sao đoàn không ở lại nói chuyện trực tiếp một chút nhỉ. Những cuộc trao đổi off-the-record bên lề hội nghị thường sẽ cởi mở và thẳng thắn hơn nữa.

Tôi đến đây là để nói cho càng nhiều người biết càng tốt tình trạng an ninh mạng yếu kém của Việt Nam. Sau hội nghị, bạn tôi hỏi có thấy đáng công không? Tôi thấy cũng tạm được, vì rốt cuộc tôi cũng đã cung cấp được thông tin quan trọng nhất. Chỉ hơi tiếc tôi đã không nhấn mạnh điểm yếu an ninh mạng đang tạo ra một rủi ro ở cấp hệ thống, có thể gây sụp đổ nền kinh tế Việt Nam.

---

Sau hội thảo tôi đi uống vài ly với vài người trong ban tổ chức. Ai quan tâm và thật lòng muốn đóng góp, giúp đỡ Việt Nam, tôi đều xem là bạn. Tôi nghĩ chuyến đi này tôi đã tìm được nhiều người bạn mới. Trò chuyện với họ, tôi không thể không nghĩ đến một vấn đề đã khiến tôi bận tâm lâu nay, đó là làm sao đóng góp cho Việt Nam nhiều hơn mà không đánh mất chính mình.

Đứng ở ngoài, độc lập với hệ thống thì tiếng nói sẽ ít có nguy cơ bị quyền lợi hay quan hệ chi phối, nhưng tác động sẽ chậm, khó quan sát. Can dự trực tiếp, tức là bắt tay vào làm luôn, tác động sẽ nhanh và rõ ràng hơn, nhưng có nguy cơ bị chính hệ thống mà ta muốn thay đổi nghiền nát.

Có lẽ tôi sẽ phải đứng chàng hảng. Chỗ nào làm được thì làm, chỗ nào cần chửi vẫn phải chửi. Nếu mình rõ ràng, sòng phẳng thì đúng là mẹ nó, sợ gì!

Gửi các anh kỹ sư Việt Kiều

2022-05-07T04:54:00.012-07:00

Ở Mỹ người ta dùng từ senior để gọi học sinh lớp 12. Qua chưa thấy ai dịch senior ra thành học sinh cao cấp hay học sinh cấp cao. Khi kỹ sư Việt Kiều về Việt Nam, senior software engineer trở thành kỹ sư cấp cao. Không biết các công ty khác thế nào, ở Google trên senior còn có... 6 cấp nữa. Nếu senior là kỹ sư cấp cao chẳng lẽ cấp 11 là kỹ sư cấp cao cao cao cao cao cao cao cao cao cao cao? Bạn qua kể ghi kỹ sư thôi bị người ta quánh giá, phải xạo l** mới bằng chị bằng em.

Ở Google mỗi nhóm thường có trung bình 6 người, bao gồm 1 người làm quản lý. Quản lý một nhóm như vậy là vị trí quản lý cấp thấp nhất trong công ty. Khi kỹ sư Việt Kiều về Việt Nam, quản lý một nhóm 6 người trở thành quản lý cấp cao trẻ nhất. Phải trẻ nhất mới chịu. Larry Page và Sergey Brin mở Google năm 25 tuổi, kỹ sư Việt Kiều trở thành quản lý cấp cao trẻ nhất Google năm... 30 tuổi. Hóa ra Larry và Sergey cấp còn thấp hơn? Bạn qua kể phải xạo l** mới bán được shit coin.

Huyền thoại xạo l** phải kể đến người bơm "oxy tăng trưởng" cho Google. Có lẽ vì mãi bận bơm thổi, kỹ sư Việt Kiều làm cũng lâu nhưng chưa bao giờ trở thành "cao cấp", tức là thuộc diện quy hoạch giải tỏa (vì lúc đó Google bắt buộc tất cả kỹ sư sau một thời gian phải lên được senior -- đấy, senior cao cấp đến nỗi không lên được là chúng đuổi).

Đương nhiên cấp bậc không nói lên gì cả. Có người làm rất siêu nhưng không muốn lên cấp. Cũng có người lên cấp ào ào nhưng chẳng làm được gì ngoài việc kiên trì lãnh lương hàng tháng. Qua chỉ muốn nhắn các anh kỹ sư Việt Kiều làm ơn bớt bớt xạo l** để qua không phải giải thích với quần chúng nhân dân tại sao qua chỉ là kỹ sư quèn, không phải cấp-cao-trẻ-đẹp-bơm-đít-bự-nhất (đít bự nhất là thật, nhưng không có bơm, thề).

VietBay Sharing livestream: Blockchain Security

2022-04-05T01:00:00.007-07:00

Nhân sự kiện Axie bị trộm mấy trăm triệu USD, tôi tham gia với vài người bạn hát một bài về blockchain security. Mời bà con đón theo dõi.

Giờ Việt Nam: 9AM-11AM, thứ tư ngày 6/4/2022

Giờ California: 7PM-9PM, thứ ba ngày 5/4/2022

Chương trình sẽ được livestream trên YouTube và Facebook group Viet Tech.

Đặt câu hỏi ở đây: https://app.sli.do/event/nCg2jZSUWf85mfUh5mDVEN.

Chuyện Việt Nam: Forbes vinh danh người dự báo "đến đầu tháng 8/2021 Sài Gòn sẽ hết dịch"

2022-02-21T04:55:00.010-08:00

Trích từ https://forbes.vn/under-30/ngo-hoang-anh/:

[...] Ngô Hoàng Anh tham gia nhóm chuyên gia công nghệ thông tin phòng chống dịch COVID-19 của bộ Y tế rồi trở thành trưởng nhóm của một team nghiên cứu xây dựng nên mô hình dự báo COVID-19 riêng cho Việt Nam.

Mô hình có tên SEIQHCDRO đã được ứng dụng để dự báo cho hai đợt dịch lớn tại Hải Dương (1-3.2021) và Bắc Giang (5-6.2021) và kiểm tra chéo với đợt dịch tại Đà Nẵng (7-8.2020) với sai số dưới 5%.

Cậu Ngô Hoàng Anh này, cùng với tiến sĩ Nguyễn Thu Anh và tiến sĩ Vũ Thành Tự Anh, là thành viên "nhóm nghiên cứu Fulbright" đã dự báo dịch ở Sài Gòn đạt đỉnh đầu tháng 7/2021 và đi xuống, kết thúc tháng 8/2021.

Đến cuối tháng 8/2021 khi bị bà con chửi bới quá, bà Thu Anh mới nói báo chí chỉ đăng một nửa dự báo và vì bà ấy đã có thỏa thuận với Sở Thông tin truyền thông, nên không thể cải chính. Nghe kỳ lạ không? Không thể cải chính nhưng đến khi thiên hạ chửi um lên thì... cải chính vô tư.

Câu chuyện "Fulbright dự báo hết dịch" là một hiện tượng thiên nhiên kỳ thú rất hay gặp ở Việt Nam: chính quyền nói láo (chứ còn ai tiết lộ một nửa dự báo?), nhà báo tiếp tay (chứ còn ai hâm hở đăng tin mà không kiểm chứng?), tinh hoa ngậm miệng (chứ có ai phản biện, cải chính?), dân lãnh đủ (chứ ai thi nhau chết?). Về bản chất nó không khác gì vụ Việt Á.

Hơi lạc đề, quay lại chuyện cậu Ngô Hoàng Anh. Forbes viết thêm về thành tích của cậu ấy:

Khi dịch bệnh diễn tiến phức tạp hơn tại TPHCM và cần thể hiện được cấu phần vaccine (bao gồm tốc độ tiêm vaccine và hiệu quả của vaccine), nhóm của Hoàng Anh đã kết hợp với đơn vị Mô hình hoá Dịch tễ Đại học Monash, Úc (Epidemiological Modelling Unit – EMU) để hiệu chỉnh mô hình và cho kết quả gần như trùng khớp hoàn toàn.

Để tôi viết lại bằng tiếng Việt cho dễ hiểu: chúng tôi đã dự báo sai tè le tình hình ở Sài Gòn, nhưng sau khi chúng tôi đã sửa dự báo lại cho đúng thì quả nhiên dự báo của chúng tôi đã trở nên gần như đúng hoàn toàn! Tài thật, sửa lại cho đúng rồi thấy nó đúng phóc, giống như ăn cơm xong phát hiện tự nhiên no.

Sau đó, team này tiếp tục dự báo từ giữa tháng 12/2021 đến cuối tháng 3/2022 Sài Gòn sẽ hứng một đợt dịch mới:

Nhóm nghiên cứu dự báo, từ thời điểm hiện nay đến cuối tháng 3.2022, nhiều khả năng sẽ có ít nhất một làn sóng dịch mới diễn ra. Độ lớn của làn sóng dịch này phụ thuộc hoàn toàn vào việc thực thi biện pháp phòng chống dịch của TP.HCM.

Với các kịch bản chính sách trong báo cáo dự báo này, nhóm nghiên cứu cho dự báo, từ 1.12.2021 đến 30.6.2022, số ca nhiễm SARS-CoV-2 ghi nhận được sẽ dao động từ 700.000 - 1,2 triệu ca; số ca tử vong do Covid-19 dao động từ khoảng 11.500 - 26.000; số giường hồi sức cấp cứu (bao gồm các giường ECMO, thở máy xâm lấn và không xâm lấn) cần phải chuẩn bị ít nhất là 1.700 giường.

Tình hình Sài Gòn khá ổn, tức là còn gần 40 ngày nữa mới biết dự báo này có đúng không. Ngay cả khi dự báo đúng, tác động tích cực cụ thể là gì, dự báo đã giúp người dân chống dịch thế nào? Bà Thu Anh nói rằng Sài Gòn bị nặng vậy là do chính quyền không làm theo kiến nghị đi kèm dự báo. Ủa thế thì tác động chỉ là "tao dự báo [sai] mà tụi nó không nghe?" hay còn gì nữa?

Tóm lại dự báo quá khứ sai tè le, dự báo tương lai chưa biết thế nào, không có tác động tích cực gì rõ ràng, rốt cuộc Forbes vinh danh vì lý do gì?

Việt Nam và 5G

2022-01-21T03:22:00.011-08:00

Nhân dịp nhà báo Huy Đức bàn về Bộ trưởng Nguyễn Mạnh Hùng và công nghệ 5G, tôi muốn cung cấp một số thông tin để rộng đường dư luận. Tôi đã gửi bài này cho nhà báo Huy Đức và ĐBQH Nguyễn Lân Hiếu, người đã từng chất vấn Bộ trưởng Hùng về 5G.

3GPP là tổ chức chịu trách nhiệm nghiên cứu phát triển công nghệ viễn thông cho cả thế giới. 3G, 4G, 5G cũng từ đây mà ra. Dữ liệu từ 3GPP cho thấy đóng góp của Việt Nam cho quá trình nghiên cứu phát triển 5G là con số không tròn trĩnh.

754 công ty thành viên của 3GPP từ 45 quốc gia bắt đầu xây dựng chuẩn 5G từ cuối năm 2016. Các tập đoàn hàng đầu như Huawei, Qualcomm, Ericsson, Nokia, v.v. đã chi hàng tỉ USD đầu tư nghiên cứu. Họ cạnh tranh với nhau bằng những đóng góp kỹ thuật gọi là TDoc. 3GPP công bố đầy đủ ai đóng góp cái gì.

Tôi không tìm thấy đóng góp nào của Việt Nam. Cũng đúng thôi, muốn đóng góp phải là thành viên chính thức, nhưng tôi không thấy có tổ chức hay doanh nghiệp Việt Nam nào là thành viên của 3GPP. Trong các thống kê về bằng phát minh công nghệ 5G, tôi cũng không thấy công ty, tổ chức nào đến từ Việt Nam.

Ở Việt Nam người ta hay dùng từ "làm chủ công nghệ". Tôi hiểu làm chủ là có đủ sức ảnh hưởng để thay đổi công nghệ phát triển theo ý đồ của mình. Đó là lý do các hãng tập trung đóng góp qua TDoc, vì đây là cách họ tạo ảnh hưởng để điều chỉnh công nghệ theo hướng có lợi cho họ nhất.

Vì không có đóng góp vào công nghệ lõi 5G, Việt Nam hoàn toàn không có khả năng này, tức là thế giới làm ra sao mình sẽ xài vậy, có thể sẽ thay đổi chút xíu cho đúng với "định hướng xã hội chủ nghĩa", nhưng hoàn toàn không có quyền quyết định gì đối với sự phát triển của công nghệ lõi.

Ngoài 3GPP, còn có một tổ chức liên quan đến 5G là O-RAN Alliance. Viettel, VinSmart (đã giải thể), Mobifone và VNPT là thành viên của tổ chức này. O-RAN Alliance được thành lập năm 2018 để tạo ra một thiết kế mở cho RAN (Radio Access Network).

Trong kiến trúc mạng di động, RAN là phần quan trọng, kết nối thiết bị của người dùng vào mạng lưới của nhà mạng. RAN bao gồm rất nhiều phần cứng, phần mềm phức tạp. Trước đây, muốn xây dựng RAN nhà mạng phải mua giải pháp trọn gói của Nokia, Ericsson hay Huawei. Thiết bị của hãng này không chạy được với hãng kia, khiến các nhà mạng hoàn toàn phụ thuộc vào các công ty cung cấp giải pháp.

O-RAN Alliance đặt mục tiêu thay đổi tình trạng này bằng cách tạo ra tiêu chuẩn mở, giao diện mở, phần mềm, phần cứng mở. Các nhà mạng sẽ có nhiều lựa chọn hơn, từ đó giảm lệ thuộc và chi phí vận hành đầu tư. Do đó việc các nhà mạng Việt Nam tham gia O-RAN Alliance là một chiến lược đúng, nhất là trong bối cảnh giải pháp của Huawei tuy rẻ nhưng đem lại nhiều lo ngại về an ninh.

Nhưng tham gia O-RAN không có nghĩa Việt Nam dẫn đầu thế giới về 5G. Ngoài Việt Nam, O-RAN Alliance đã có hơn 200 thành viên. Trong các báo cáo và tiêu chuẩn đã công bố của O-RAN, tôi không tìm thấy tên người Việt hay công ty Việt trong danh sách tác giả. Việt Nam cũng không có đại diện trong Board of Directors của O-RAN.

Tức là nhiều khả năng, cũng như 3GPP, Việt Nam chỉ dùng lại những gì O-RAN Alliance cung cấp sẵn, có rất ít hoặc không có ảnh hưởng gì đến những tiêu chuẩn công nghệ do tổ chức này tạo ra. Tôi hi vọng tôi sai và có ai đó sẽ chỉ ra đóng góp lớn của Việt Nam.

Trong số các nhà mạng Việt Nam, Viettel có nhiều tuyên bố nhất về 5G. Tháng 1/2020, Viettel trình diễn cuộc gọi 5G "Make in Vietnam" đầu tiên, tuyên bố chỉ sau sáu tháng nghiên cứu đã sản xuất thành công thiết bị 5G, trở thành công ty thứ sáu trên thế giới có khả năng này, ngang hàng với những Nokia, Ericsson, Huawei, Samsung, ZTE. Báo chí nước nhà hoan hỉ loan tin Việt Nam đã trở thành cường quốc đứng thứ năm thế giới về 5G, trong khi chuyên gia bày tỏ nghi ngờ.

Viettel nói họ đã chế tạo thành công trạm thu phát sóng 5G gNodeB. Tôi không biết họ đã làm gì, tôi chỉ biết là ai cũng có thể tự "sản xuất" gNodeB, sử dụng phần mềm mã nguồn mở và phần cứng mua ở chợ. Bạn hoàn toàn có thể trình diễn cuộc gọi 5G như Viettel đã làm và trở thành quốc gia thứ sáu sản xuất thành công thiết bị 5G.

Thành viên sáng lập của O-RAN Alliances là năm nhà mạng viễn thông thuộc hàng lớn nhất thế giới: AT&T của Mỹ, China Mobile của Trung Quốc, Deutsche Telekom của Đức, NTT DOCOMO của Nhật và Orange của Pháp. Câu hỏi tự nhiên là sao họ không sản xuất thiết bị như Viettel? Phải chăng Viettel quá siêu, làm được những điều thần kỳ mà các tập đoàn này không thể làm?

Nói vậy không có nghĩa Viettel không có đầu tư nghiên cứu gì. Trong một báo cáo nhan đề "Xu hướng 5G Open-RAN @ Thiết bị mạng 5G MAKE-IN-VIETNAM" ghi ngày 18/11/2020, Viettel cho biết họ đã bắt đầu nghiên cứu gNodeB từ đầu năm 2018. Họ không ghi phiên bản trình diễn vào tháng 1/2020 sử dụng giải pháp gì, kế hoạch đến tháng 6/2021 sẽ dùng O-RAN.

Bộ giao thức 5G bao gồm 3 lớp. Trong một trình diễn vào tháng 1/2021 ở Mobile World Congress Thượng Hải, Viettel cho biết họ tự chế tạo phần mềm cho lớp 2, lớp 3 chạy trên Linux x86 và phần cứng cho lớp 1 theo chuẩn của O-RAN.

Rất khó để biết chính xác Viettel làm được gì. Như tôi đã nói ở trên, có nhiều phần mềm mã nguồn mở cho 5G, ai cũng có thể tải về xài. Về phần cứng, cũng có nhiều nhà cung cấp. Muốn đạt tốc độ cao, 5G cần công nghệ thiết kế và sản xuất chip mà Việt Nam hoàn toàn không có. Demo của Viettel ở Thượng Hải chỉ đạt tốc độ download 572Mbps, bằng 1/8 so với trình diễn sử dụng thiết bị của Ericsson.

Cuối cùng, có một nhập nhằng trong câu chuyện thương mại hóa 5G. Việt Nam có thể thương mại hóa 5G sử dụng thiết bị nước ngoài. Ngoài Ericsson, Viettel cũng đang thử nghiệm ở Đà Nẵng với Samsung. Cái này dễ làm, vì chỉ cần bỏ tiền ra mua. Câu hỏi là có nên làm 5G ngay bây giờ không? Tôi sẽ quay lại vấn đề này vào một dịp khác.

Còn câu chuyện mà Viettel nói là thương mại hóa bằng thiết bị do họ tự nghiên cứu sản xuất. Nếu họ làm được thì cũng đáng mừng, nhưng ngay cả như vậy cũng không cho thấy Việt Nam thuộc nhóm quốc gia dẫn đầu thế giới về 5G, một công nghệ chúng ta không có đóng góp gì.

Không tìm thấy đóng góp của Việt Nam. Bà con có thể tự tìm ở đây.

Đóng góp của Huawei.

Thống kê bằng phát minh liên quan đến 5G đến tháng 11/2021 của IPLytics, dựa vào dữ liệu của ETSI.

Chiếc iPad trong vụ án Nguyễn Đức Chung

2021-12-30T16:59:00.001-08:00

Tòa Việt Nam sử dụng chứng cứ số (digital evidences):

Quá trình tranh tụng hai ngày qua, luật sư Nguyễn Văn Tú, một trong bốn người bào chữa cho cựu chủ tịch Hà Nội, một lần nữa đề nghị HĐXX xem xét "vật chứng quan trọng" được ông giao nộp từ ngày làm việc đầu tiên - chiếc iPad của bị cáo Chung.

Luật sư Tú đề nghị HĐXX tiếp nhận chiếc iPad này và trưng cầu giám định của cơ quan điều tra về mốc thời gian, lịch sử cụ thể việc mở và dùng iPad. Việc này nhằm làm rõ, trong khoảng thời gian trước khi đóng thầu, ông Chung có thực sự dùng thiết bị để tiếp nhận email của Bùi Quang Huy (Tổng Giám đốc Công ty Nhật Cường, đang bỏ trốn) qua đó can thiệp dừng thầu trái quy định.

Yêu cầu của luật sư được HĐXX chấp thuận. Chiếc iPad được làm thủ tục niêm phong ngay tại toà. Phản hồi về vật chứng, ông Chung xác nhận đó là tài sản của mình song chỉ sử dụng trong năm 2016, "có thể không nhớ password". Ông nói: "Lấy danh dự là một con người, không xem các email anh Huy gửi".

Sáng nay, truyền đạt phản hồi của Cục An ninh mạng và Phòng chống tội phạm công nghệ cao, HĐXX cho biết, theo chính sách bảo mật của Google, chỉ xem xét được lịch sử truy cập trong 28 ngày kể cả đăng nhập email nên không thể xác minh được lịch sử đăng nhập email trên. "Trường hợp có mật khẩu chiếc iPad cũng không có căn cứ ông Chung đã đọc email của Huy hay chưa", chủ tọa nói.

Có khá nhiều thông tin lý thú ở đây:

* Ông Chung xài Gmail. Trên tấm danh thiếp của ông Mai Tiến Dũng, cựu Bộ trưởng Chủ nhiệm Văn phòng Chính phủ, cũng có một địa chỉ @gmail.com. Ông Dũng từng phụ trách chính phủ điện tử đấy, nhưng tôi đoán ông ấy cũng không dám xài hàng nội.

* Có vẻ như cơ quan điều tra không có bằng chứng ông Chung đã đọc email của Bùi Quang Huy. Vậy làm sao họ lại biết ông Huy gửi email cho ông Chung? Tôi đoán họ vào được tài khoản email của Bùi Quang Huy. Các máy chủ của Nhật Cường đã chết, tôi không biết Bùi Quang Huy xài email gì.

* Mặc dù luật sư của ông Chung cho là iPad là vật chứng quan trọng, nhưng ông Chung lại nói "có thể không nhớ password". Có vẻ như ông Chung vẫn chưa chắc có nên cho người ta khám chiếc iPad hay không, vì có thể trong đó còn có những thông tin bất lợi cho ông ấy.

* Có vẻ như Tòa không yêu cầu ông Chung cung cấp mật khẩu. Trường hợp Tòa yêu cầu nhưng ông Chung nói không nhớ thì sao? Câu hỏi tưởng đơn giản này nhưng kỳ thực là một vấn đề pháp lý phức tạp. Không biết luật là có tội, nhưng không (còn) biết mật khẩu thì có tội hay không?

* Ông Chung không nhớ mật khẩu iPad nhưng còn mật khẩu email thì sao? Ông Chung nói không quen biết Bùi Quang Huy, nếu có toàn bộ mailbox, cơ quan điều tra có thể xem hai bên đã có email cho nhau trước đó hay không.

* A05 có lý khi cho rằng bây giờ có mật khẩu iPad cũng không có căn cứ ông Chung đã đọc email của Bùi Quang Huy hay chưa. Tôi đoán vì ông Chung hoàn toàn có thể "unread" những email mà ông ấy đã đọc.

* Không rõ A05 đã gửi yêu cầu cho Google về trường hợp của ông Chung hay họ chỉ nói từ kinh nghiệm, nhưng dường như Google chỉ cung cấp cho Chính phủ Việt Nam lược sử truy cập chung chung trong vòng 28 ngày gần nhất.

* Xài Gmail và iPad (nhớ đặt mật khẩu dài) thì công an Việt Nam sẽ không xem được email của bạn, ngay cả khi bạn bị bắt. Nhưng tốt nhất nếu muốn người khác không biết thì đừng ghi vô máy tính hay điện thoại.

* Ông Chung rất tùy tiện, thoải mái dùng điện thoại rồi email trao đổi những chuyện tày trời. Quan chức Việt Nam được thể chế nuông chiều nên từ "nhỏ" đã quen thói ông trời con, không coi pháp luật ra gì. Đến khi chẳng may "lớn" lên, cứ ngỡ hồi xưa quyền bé mà đã không ai làm được gì bây giờ quyền to tổ bố đố ai làm được gì, nhưng không ngờ vấn đề chỉ là có bao nhiêu "đồng chí" mà thôi.

Lừa đảo trên mạng

2021-12-26T09:25:00.000-08:00

(Một phiên bản bài này đã gửi đăng VNExpress)

Tôi về Sài Gòn được vài bữa, mua một “sim” mới toanh, vừa dùng đã nhận được hàng chục tin nhắn giả mạo thương hiệu của một ngân hàng lớn.

Để tối ưu, bọn tội phạm còn cất công phân loại khách hàng của từng ngân hàng để tin nhắn giả mạo thêm phần thuyết phục. Làm được như vậy đòi hỏi phải có đầu tư trang thiết bị và con người.

Đại diện một cơ quan hữu trách cho biết mỗi năm người Việt mất hơn 1.000 tỷ đồng vì lừa đảo trên mạng. Tôi đoán thiệt hại thực tế cao hơn nhiều và sẽ còn tăng, vì người Việt càng lúc càng có nhiều tài sản trên mạng. Nạn nhân đa phần là người già, tiền mất đi là mồ hôi nước mắt họ dành dụm cả đời. Đây là “nỗi đau công nghệ” kéo dài đã lâu nhưng vẫn chưa có “anh hùng mạng” nào đứng ra giải quyết.

Mỗi khi có tin về lừa đảo, tôi lại thấy ý kiến cho rằng chỉ người thiếu hiểu biết mới bị lừa. Tôi cũng từng nghĩ vậy, cho đến khi chính tôi, một kỹ sư an ninh mạng gần 20 năm, cũng bị lừa.

Đồng nghiệp gửi cho tôi một đường dẫn, khi nhấp vào phải “đăng nhập”. Tôi đã cẩn thận kiểm tra địa chỉ máy chủ rồi mới nhập mật khẩu. Khi nhấn Enter, máy chủ báo “mật khẩu sai”. Tôi nghĩ chắc mình gõ nhầm, chuyện này vẫn thường xảy ra, nên nhập lại lần nữa. Enter lần hai, tôi nhận ra mình đã bị lừa.

Chuyện gì đã xảy ra? Tôi nhập mật khẩu hai lần. Lần đầu tôi nhập vào trang web chính chủ, kỳ thực lúc đó tôi đã đăng nhập thành công, nhưng đồng nghiệp đã gửi cho tôi một đường dẫn đặc biệt: ngay sau khi tôi đăng nhập thành công, “nó” sẽ chuyển tôi đến một trang web giả mạo. Trang giả mạo này hiện lên thông báo lỗi giả rằng tôi đã nhập sai mật khẩu khiến tôi cắm cúi nhập lại mà không kiểm tra địa chỉ máy chủ nữa.

Bạn tôi hỏi có xấu hổ khi là chuyên gia mà vẫn bị lừa? Tôi thấy không có gì đáng xấu hổ cả. Tôi bị lừa không phải vì thiếu kiến thức mà vì một giây lơ đãng. Ai mà không có những lúc như vậy. Với đà phát triển của công nghệ làm giả khuôn mặt và giọng nói (deep fake), rồi đây kẻ ác sẽ có vô số cách để đưa cả những người cẩn thận nhất vào tròng.

Nếu chỉ có vài người bị lừa, có thể nói đây là lỗi cá nhân, nhưng nếu hàng ngàn người bị thì đó là lỗi hệ thống. Chỉ khi nào thừa nhận ai cũng có thể bị lừa và không còn đổ lỗi cho nạn nhân, chúng ta mới có thể tìm kiếm giải pháp tốt.

Có muôn hình vạn trạng kiểu lừa trên mạng. Phổ biến nhất là email, nhắn tin đánh cắp mật khẩu tài khoản ngân hàng hoặc yêu cầu chuyển tiền giúp người thân gặp nạn. Giải pháp tốt phải giúp giảm thiểu ít nhất 90% thiệt hại, tức 9 trong 10 nạn nhân sẽ không bị mất tiền, ngay cả khi nạn nhân chủ động chuyển tiền hay cung cấp thông tin cho kẻ xấu.

Tại sao 90% mà không phải 100%? Vì chừng nào con người còn tin con người thì không thể nào chống 100% lừa đảo được. 90% đã là một tiêu chuẩn rất cao và rất khó thực hiện.

Bài toán này khó vì nhiều nguyên nhân. Ban đầu tôi nghĩ giải pháp khá đơn giản, chỉ cần sử dụng một công nghệ xác thực chống lừa đảo như WebAuthn là được. Đây chính là cách mà nhiều hãng công nghệ lớn sử dụng để bảo vệ nhân viên và khách hàng của họ. Sự thật là từ khi Google triển khai WebAuthn, không còn nhân viên bị lừa mất tài khoản nữa.

Để xác thực nhân viên, WebAuthn là giải pháp hoàn hảo, nhưng để xác thực khách hàng thì công nghệ này còn nhiều khiếm khuyết, ảnh hưởng xấu đến trải nghiệm. Một giải pháp tốt phải cân bằng được giữa an toàn và dễ dùng, tức là vừa phải bảo vệ được khách hàng mà không làm họ khó chịu.

Các ngân hàng có thể xây dựng giải pháp tự động phát hiện đường dẫn lừa đảo trong tin nhắn, nhưng cái khó là làm sao cân bằng giữa bảo vệ người dùng và đảm bảo riêng tư. Nội dung tin nhắn và thói quen truy cập Internet là những thông tin nhạy cảm, không thể tùy tiện tiết lộ cho bên thứ ba.

Bài toán còn khó vì kẻ xấu quá đông, nhiều thủ đoạn và có tổ chức - hàng chục tin nhắn rác trong “sim” tôi mới mua là một ví dụ. Thực tế, không quá khó để lừa tiền người khác, cái khó là làm sao rút tiền mà không bị bắt. Tội phạm nghiệp dư thường để lộ tung tích khi rút tiền, nhưng những nhóm tội phạm trong và ngoài nước đang nhắm vào người Việt đã cất công xây dựng mạng lưới rửa tiền bao gồm hàng ngàn tài khoản.

Ngay khi lừa được, chúng sẽ liên tục chuyển tiền qua nhiều tài khoản ở các ngân hàng khác nhau, trước khi rút ra để mua các đồng tiền mã hóa như USDT ở các sàn giao dịch quốc tế. Theo quy định của pháp luật, các ngân hàng không thể chia sẻ thông tin và cũng không thể yêu cầu ngân hàng khác giữ lại tiền, do đó rất khó để ngăn chặn và truy vết dòng tiền một khi nó ra khỏi ngân hàng của nạn nhân.

Những năm gần đây, Việt Nam liên tục tăng hạng trên các bảng xếp hạng an ninh mạng của thế giới. Có ý kiến còn cho rằng, Việt Nam đủ khả năng trở thành cường quốc an ninh mạng. Việt Nam cũng đã có công ty an ninh mạng hàng đầu thế giới, mặc dù chỉ là tự phong.

Tôi không rõ tiêu chí của các danh hiệu trên là gì, nhưng nếu người dân liên tục bị lừa mất nghìn tỷ thì có lẽ danh hiệu cũng không mấy ý nghĩa. Với đà phát triển như hiện tại, lừa đảo mạng sẽ không chỉ là vấn đề của các ngân hàng, mà đang trên đường trở thành vấn đề của quốc gia, cản trở sự phát triển của Internet và cả ngành công nghiệp số Việt Nam. Nếu không thấy an toàn trên mạng, người ta sẽ không dám sử dụng nữa.

Bài toán này, tôi biết nhiều nơi cũng đang đau đáu tìm lời giải, nhưng thú thật không chắc sẽ có lời giải trọn vẹn. Dẫu sao, đây là một thử thách nhiều ý nghĩa, đáng để giới kỹ sư và nhà chức trách đầu tư suy ngẫm. Không cường quốc nào mà không thể tự bảo vệ người dân của mình.

Ở Mỹ du côn cũng khôn hơn

2021-11-30T09:14:00.005-08:00

Một lần H. đến đón tôi ở Tân Sơn Nhất. Nó nhắn sẽ nhờ người quen làm thủ tục hải quan cho nhanh. Tôi đang xếp hàng, phía trước còn mấy chục người, người quen của H. xuất hiện chỉ vài giây là qua cổng luôn.

Tôi biết là sẽ nhanh, nhưng không ngờ nhanh như vậy. Bi kịch muôn đời của loài người. Lúc đi từ cuối hàng lên, bao ánh mắt nhìn chằm chằm, tôi chỉ muốn độn thổ, nhưng nền xi măng khá cứng, tôi nghĩ vật lý hiện đại sẽ không cho phép, nên lại thôi.

Một lần khác tôi chờ quét hành lý ở Nội Bài thì có hai vị trông rất ra dáng thượng lưu được một anh nhân viên sân bay dẫn lên chen ngang, cơ bản là đi tắt đón đầu, hoàn toàn không đếm xỉa gì đến tôi và những người khác.

Vì đã trả tiền để được ưu tiên, tôi nhìn anh nhân viên quét hành lý rồi buộc miệng, "Chắc thời gian của mấy người này quan trọng hơn của tôi". Anh ấy rối rít xin lỗi, còn hai vị kia vẫn tỉnh bơ. Dường như trong mắt những người này, chỉ có ruồi muỗi mới phải xếp hàng, mà sang chảnh như họ thì làm gì có thời gian quan tâm ruồi muỗi nghĩ gì.

10 năm ăn bờ thừa sữa cặn chích vaccine Mỹ tôi chưa bao giờ được ưu tiên kiểu này và cũng chưa từng thấy ai được như vậy. Ở đây muốn làm gì đều phải xếp hàng, theo đúng thủ tục, có muốn nhờ người quen cũng không biết hỏi ai. Muốn được ưu tiên thì phải trả thêm tiền. Không muốn chờ lâu ở sân bay? Mời mua vé thương gia, đắt gấp 3-4 lần.

Nói vậy không có nghĩa ở Mỹ có quan hệ rộng không đem lại ích lợi gì. Nếu không thì người giàu đã không cố gắng cho con cái vào Harvard hay Stanford. Ở đâu cũng vậy, có quen biết thì công việc, cuộc sống sẽ thuận lợi hơn nhiều. Người ta giàu vì bạn mà. Chỉ có điều du côn Mỹ khôn hơn, có ăn trên đầu thiên hạ thì cũng kín đáo, không nghênh nghênh tự đắc khoe ông ngoại.

Bọn phản động cứ mở miệng ra là chê giáo dục Việt Nam, nhưng tôi là một người hâm mộ trung thành. Ít nhất nền giáo dục này đã giúp làm ngu hóa những kẻ không nên quá khôn. Đây là một thành quả vĩ đại mà không phải nước nào cũng dám làm.

Không đề

2021-11-16T11:02:00.002-08:00

Cách đây mấy tuần tôi có dịp gặp gỡ với bác sĩ Lê Minh Ngọc và Nguyễn Phương Mai, 2 trong số 40.000 y bác sĩ chi viện cho miền Nam. Bác sĩ Ngọc từ Bệnh viện Y Hà Nội vào làm trưởng khoa chữa trị bệnh nhân nặng nhất ở Bình Dương, "tưởng đi 1 tháng rồi về, ai dè đi đúng 100 ngày". Còn bác sĩ Mai thì đang làm việc ở Luân Đôn, "thấy mình là người Việt mà quê nhà đang gặp nạn" nên đã bỏ việc về Bình Dương hỗ trợ.

Tôi đã đem câu chuyện của hai vị bác sĩ trẻ kể cho nhiều người. Mỗi lần kể là mỗi lần nghẹn ngào, một phần vì nhớ lại những gì đã xảy ra với gia đình và bạn bè, một phần vì các bạn ấy cho tôi một hi vọng. Với những con người bản lĩnh và chân thành như vầy, lịch sử rồi cũng sẽ phải sang trang.

Xin cúi đầu cảm ơn bác sĩ Ngọc, bác sĩ Mai và tất cả những ai đã dấn thân giúp đỡ đồng bào.

Lỗ hổng của Sổ sức khỏe điện tử

2021-10-13T10:17:00.003-07:00

Cập nhật: xem thêm một số chi tiết kỹ thuật.

Tôi không có thời gian viết chi tiết, nên chỉ công bố email mà tôi chia sẻ với Bộ TTTT, Bộ Y Tế và Viettel. Xin được lọc bỏ tên và email của những người đã trực tiếp liên hệ để đảm bảo riêng tư.

Tất cả các lỗ hổng đã biết đều đã được sửa. Team SSKĐT còn đang cân nhắc một số giải pháp bảo vệ riêng tư cho người dùng tốt hơn tôi mong đợi.

Dẫu vậy đề nghị đưa mã nguồn lên GitHub của tôi chưa được thực hiện.

---

On Mon, Oct 4, 2021 at 3:40 AM <đã lọc bỏ> wrote:

<đã lọc bỏ> gửi lại từ GMAIL

Dear Thái,

Sáng nay, anh Long Bộ trưởng Y tế có chuyển <đã lọc bỏ> các thông tin liên quan đến ý kiến của Thái.

Rất mong Thái có thêm ý kiến chi tiết về mặt kỹ thuật để anh em có thể nhanh chóng khắc phục các điểm yếu nếu có.

<Đã lọc bỏ> CC kèm trong email này <đã lọc bỏ> Viettel và các anh em Cục CNTT Bộ Y tế để cũng tham gia luôn. <đã lọc bỏ> sẽ giúp trao đổi và follow cụ thể về mặt kỹ thuật.

Cảm ơn Thái nhé!

---

From: ⛷ Thai Duong <thaidn@gmail.com>

Date: Mon, Oct 4, 2021 at 7:32 AM

Subject: Re: Về Bug liên quan đến Sổ Sức khoẻ điện tử và các nền tảng công nghệ chống dịch

To: <đã lọc bỏ>

Cc: <đã lọc bỏ>

Chào <đã lọc bỏ>,

Tôi mới nhận được email hôm nay.

Hệ thống Sổ sức khỏe có nhiều vấn đề, mà toàn những chuyện cơ bản như default password, IDOR, HQL Injection, path traversal.

Trước tiên, với tư cách một công dân, tôi muốn nói rằng tôi rất thất vọng với các anh. Hệ thống quan trọng vậy nhưng tôi có cảm giác chưa từng có team security nào kiểm tra đánh giá. Hệ thống có lỗi là chuyện bình thường, nhưng có lỗi nhiều và sơ đẳng như vầy thì rõ ràng là thiếu trách nhiệm.

Mong là các anh đừng tuyên bố rằng hệ thống đã có 100 chuyên gia bảo mật trao đổi đóng góp, như khi tôi chỉ ra lỗ hổng của Bluezone. Nói như vậy thật sự là một sự sỉ nhục với chuyên gia nước nhà. Team Viettel Security của <đã lọc bỏ> chắc chắn có khả năng audit hệ thống này, tại sao họ không làm thì tôi không biết.

Với đội ngũ của Việt Nam hiện tại, những lỗ hổng này không có gì khó đối với các anh chị em trong nước. Tôi tin tôi không phải là người đầu tiên phát hiện chúng. Các anh làm sao mà riết rồi không ai muốn và dám làm việc với các anh, trong khi các anh làm thì không đâu vào đâu.

Với tư cách một chuyên gia an ninh mạng, tôi gửi thông tin lỗ hổng như sau:

1/ Có rất nhiều API endpoints ở trên hai địa chỉ https://datkham-api.kcb.vn và https://api-hssk.kcb.vn không có kiểm tra quyền của người dùng, dẫn đến ai cũng có thể truy vấn thông tin của người khác. Đây là lỗi IDOR cơ bản.

2/ Tương tự như thế, rất nhiều endpoints, đặc biệt là các endpoints tìm kiếm, mắc lỗi HQL Injection. Tôi chưa test nhiều lắm phần này, nhưng tôi thấy có thể lợi dụng lỗ hổng này để vượt qua phần kiểm tra quyền trên một số endpoints.

3/ Lỗ hổng path traversal cho phép đọc file bất kỳ trên https://api-hssk.kcb.vn/patient/patient-resources/avatar?avatar=/etc/passwd và https://api-hssk.kcb.vn/patient/patient-resources/attachment?file=../etc/passwd. Lợi dụng lỗ hổng này có thể xem được cấu hình và mã nguồn của backend, từ đó có thể đi vào nhiều hệ thống khác, nhưng tôi chưa có thời gian xem.

4/ Đặc biệt: rất nhiều accounts trên https://hssk.kcb.vn sử dụng cùng một mật khẩu mặc định là Hssk@#1234 hoặc Hssk@#12345.

Người dân cần được biết thông tin của họ có khả năng bị lộ ra ngoài. Hiện tại tôi thấy thông tin Sổ sức khỏe điện tử đã bị leaked ra ở nhiều nơi, nên tôi sẽ sớm thông báo để những ai quan tâm được biết, nhưng tôi sẽ không cung cấp các chi tiết kỹ thuật.

Tôi cho các anh 7 ngày, kể từ hôm nay để sửa lỗi. Tôi sẽ công bố các chi tiết kỹ thuật vào sáng thứ hai 11/10/2021. Nếu trong thời gian này tôi phát hiện ra các anh có bất kỳ động thái nói dối, lấp liếm hay tấn công cá nhân tôi như những lần trước, tôi sẽ công bố toàn bộ thông tin. Tôi cũng sẽ công bố sớm hơn nếu tôi thấy có quá nhiều người biết đến vấn đề này.

Nếu có cần trao đổi gì thêm thì các anh nhắn lại đây.

Thái.

Chiến dịch gây quỹ chống COVID của VietBay đã quyên được hơn 800 nghìn USD

2021-10-06T07:59:00.001-07:00

Với tình hình dịch bệnh đang dần được kiểm soát ở Sài Gòn, Bình Dương và các vùng lân cận, chúng tôi xin kết thúc chiến dịch gây quỹ “Hỗ trợ người Việt Nam đang gặp khó khăn do Covid-19".

Từ mục tiêu ban đầu 24,000 USD, tính tới ngày 30 tháng 9 chiến dịch gây quỹ đã nhận được 699.135,43 USD và 466.751.456 VND bao gồm đóng góp và cam kết đóng góp cho các dự án chính và 104.255,5 USD đóng góp cho các dự án theo chỉ định của nhà hảo tâm. Chúng tôi đã giải ngân được hơn 740.000 USD và sẽ tiếp tục giải ngân phần còn lại trong những ngày sắp tới.

Do phải mất 4 đến 6 tuần để nhận được đóng góp qua Facebook cũng như các công ty quản lý đóng góp từ thiện, chúng tôi sẽ cập nhật thành quả cuối cùng của chiến dịch vào cuối tháng 11. Cho các dự án đang tiếp diễn, chúng tôi sẽ cập nhật thường xuyên khi có kết quả. Xem theo dõi thông tin trên trang Facebook của VietBay: https://www.facebook.com/VietBayArea.USA/.

Chúng tôi sẽ mãi không quên tấm lòng của những nhà hảo tâm, các đối tác và tình nguyện viên đã tin tưởng và đồng hành cùng chúng tôi hỗ trợ bà con ở quê nhà trong lúc khó khăn này. Xin chân thành cảm ơn.

Câu hỏi thường gặp về vụ lộ dữ liệu Sổ sức khỏe điện tử

2021-10-05T22:08:00.007-07:00

Dữ liệu của tôi có bị lộ hay không?

Nếu bạn tiêm vaccine COVID ở Việt Nam, khả năng cao là dữ liệu bạn khai báo để được tiêm sẽ được đưa vào Sổ sức khỏe điện tử. Tùy thuộc vào địa điểm tiêm, dữ liệu bao gồm tên, ngày tháng năm sinh, địa chỉ nhà, nơi làm việc, số điện thoại, số chứng minh thư, số bảo hiểm y tế, số bảo hiểm xã hội… Hệ thống có lưu thông tin hộ gia đình, từ đó có thể biết được ai sống cùng một nhà và mối quan hệ gia đình. Hệ thống này còn lưu trữ cả hồ sơ bệnh án, nhưng tôi không rõ nếu chỉ tiêm vaccine COVID thì có phải khai báo gì không.

Kẻ xấu lợi dụng lỗ hổng sẽ có thể tìm kiếm và tải về tất cả thông tin kể trên. Tôi không có bằng chứng có ai đó đã làm như vậy. Để xác nhận 100%, phải có một cuộc điều tra độc lập. Tôi không nghĩ người ta sẽ làm vậy, trừ khi Quốc hội và Chính phủ vào cuộc.

Tôi cần phải làm gì để tự bảo vệ?

Thật sự tôi không có giải pháp nào cả. Dữ liệu danh tính là dữ liệu trọn đời, mất rồi không thể nào lấy lại được.

Nếu kẻ xấu lấy được thông tin này, chúng thường sẽ dùng vào hai mục đích:

* đánh cắp danh tính: chúng sẽ giả mạo bạn đi đăng ký các sản phẩm dịch vụ. Phần này tôi không biết giải pháp nào cả, nếu ai biết thì xin vui lòng để lại còm.

* lừa đảo phishing: chúng sẽ gọi điện thoại, nhắn tin, giả danh người từ ngân hàng, hãng bảo hiểm, chính quyền… để lừa tiền. Hãy cảnh giác khi nhận cuộc điện thoại từ người lạ, kể cả khi họ nói đúng vanh vách thông tin cá nhân của bạn.

Tôi có thể làm gì để không xảy ra tình trạng này nữa?

Bạn có thể lên tiếng, yêu cầu Chính phủ và Quốc hội bắt buộc tất cả hệ thống app chống COVID phải mở mã nguồn để người có chuyên môn dễ dàng tham gia đánh giá và kiện toàn.

Tại sao mã nguồn mở thì an toàn hơn?

Đây là một câu hỏi mà một vị đại biểu Quốc hội cũng đã hỏi tôi. Thật sự mã nguồn mở hay không không quan trọng bằng việc có người có chuyên môn cao cùng tham gia. Trong tình trạng Chính phủ không có đủ người thì việc mở mã nguồn sẽ tạo điều kiện cho những ai quan tâm tham gia vào tiến trình phát triển và kiện toàn sản phẩm.

Nếu như thiết kế của SSKĐT được công bố rộng rãi ngay từ đầu và người ta nói rõ tầm quan trọng của hệ thống này, nhiều người đã có thể giúp phát hiện lỗ hổng và sửa chữa ngay từ khi hệ thống chưa có thông tin cá nhân của bất kỳ ai.

Thư ngỏ gửi Thủ tướng Phạm Minh Chính về việc thay đổi tư duy làm app chống dịch

2021-10-04T21:00:00.001-07:00

Kính gửi Thủ tướng Phạm Minh Chính,

Tôi là Dương Ngọc Thái, kỹ sư an ninh mạng đang làm việc ở Google, Hoa Kỳ.

Tôi viết thư này để thông báo cho Thủ tướng biết một số lỗ hổng nghiêm trọng của hệ thống Sổ sức khỏe điện tử. Đây là hệ thống do Bộ Y tế quản lý và cho đến thời điểm này có chứa thông tin cá nhân và sức khỏe của gần 25 triệu người Việt Nam, bao gồm cả đại biểu Quốc hội và lãnh đạo các cấp. Con số có thể không dừng ở 25 triệu người, vì toàn bộ những người đã tiêm vaccine Covid-19 đều sẽ có thông tin trên hệ thống này.

Thông tin bị lộ bao gồm: tên, địa chỉ, số chứng minh nhân dân, số điện thoại, nơi làm việc, một số người có số bảo hiểm y tế thì có thể truy ra tình trạng và lịch sử bệnh tật; từ địa chỉ hoặc dữ liệu hộ khẩu có thể truy ra thông tin về người thân trong gia đình. Đây là các thông tin nhân thân nhạy cảm, có thể bị lợi dụng để lừa đảo hoặc thậm chí xâm hại an ninh quốc gia.

Để làm bằng chứng về mối nguy hại, tôi đính kèm một số thông tin cơ bản của 298 Đại biểu Quốc hội, trong đó bao gồm Bộ trưởng Y tế Nguyễn Thanh Long, Bộ trưởng Nguyễn Kim Sơn, Bộ trưởng Lê Minh Hoan, Bộ trưởng Bùi Thanh Sơn, nguyên Bí thư TPHCM Nguyễn Thiện Nhân…

Tôi đánh giá hệ thống Sổ sức khỏe điện tử được phát triển bài bản, hiện đại. Tuy vậy, hệ thống có những lỗ hổng rất cơ bản, không cần chuyên môn cao vẫn có thể phát hiện và lợi dụng.

Tôi cung cấp thông tin này trước mắt để Thủ tướng có thể chỉ đạo Bộ Y tế làm việc với nhà phát triển để vá lỗi. Tôi nghĩ việc sửa lỗi rất cần có sự tham gia và đánh giá độc lập của một bên thứ ba.

Về lâu dài, tôi đề nghị Chính phủ và Quốc hội yêu cầu những hệ thống công nghệ quốc dân chứa thông tin cá nhân của đa số công dân trong xã hội phải được công khai mã nguồn, tài liệu thiết kế, kế hoạch phát triển để những người có chuyên môn khắp nơi có thể giúp giám sát và sửa lỗi. Nếu mã nguồn và thiết kế của Sổ sức khỏe điện tử (và các app chống dịch khác) được công bố rộng rãi ngay từ đầu, những lỗ hổng mà tôi tìm thấy đã sớm được phát hiện và ngăn chặn.

Trân trọng,

Dương Ngọc Thái

Cảnh báo: lỗ hổng lộ thông tin gần 25 triệu người đã tiêm vaccine ở Việt Nam

2021-10-04T11:05:00.398-07:00

Sau khi tôi nói về tư duy làm app quốc dân, một đồng bọn nhắn tin kêu tôi vô coi hệ thống Sổ sức khỏe điện tử, "chắc nó nát lắm". Hệ thống này do Bộ Y tế quản lý và Viettel thực hiện.

Thú thật, sau khi báo lỗi và góp ý về Bluezone tôi cũng thấy ngán làm việc với các team quốc doanh. Nhưng số trời hay sao đó, ba tôi đủ tiêu chuẩn nhưng chưa được cấp thẻ xanh, thẻ vàng Covid. Thế là tôi phải vô coi Sổ sức khỏe điện tử (SSKĐT) cấp thẻ thế nào.

Vô coi thì tôi thấy Sổ sức khỏe điện tử có nhiều lỗ hổng bảo mật sơ đẳng, làm lộ thông tin cá nhân và dữ liệu sức khỏe của gần 25 triệu người Việt Nam và người nước ngoài đang sống ở Việt Nam, bao gồm cả đại biểu Quốc hội và lãnh đạo các cấp. Nói chung, nếu bạn từng tiêm vaccine ở Việt Nam, thông tin của bạn nhiều khả năng đã được lưu trữ trong hệ thống này, bất kể bạn đã cài app hay chưa.

Chi tiết kỹ thuật tôi đã cung cấp cho Bộ TTTT, Bộ Y Tế và Viettel và sẽ công bố rộng rãi vào ngày 11/10/201. Team SSKĐT cảm ơn, đã nhanh chóng sửa được một phần và đang gấp rút sửa hết.

Nhìn chung, thái độ tôi nhận được là hết sức cầu thị và chuyên nghiệp, tốt hơn nhiều khi làm việc với team Bluezone. Tôi rất cảm kích các anh chị em đội dự án đã phải miệt mài sửa chữa lỗ hổng. Hệ thống đã tốt hơn rất nhiều so với cách đây vài ngày.

Tôi đề nghị họ nên đưa lên GitHub để tôi và những ai quan tâm có thể cùng tham gia sửa lỗi. Tôi không có nhiều thời gian và kiến thức cũng hạn hẹp, nhưng Việt Nam không thiếu tài năng, chỉ thiếu cách để họ "tự gãi ngứa" thôi.

Hệ thống nào cũng có lỗi, nhưng có nhiều lỗi sơ đẳng như vậy, là biểu hiện của thiếu trách nhiệm và thiếu giám sát của người quản lý. Hệ thống nhạy cảm như vậy nhưng tôi có cảm giác chưa hề được đánh giá bảo mật.

Trách nhiệm không nằm ở đội ngũ lập trình viên, mà ở chỗ tại sao không có người hỗ trợ họ. Tôi hiểu và thông cảm phải làm nhanh và gấp rút, nhưng hệ thống này cũng đã có lâu rồi, chứ không phải mới làm ngày một ngày hai.

Những vấn đề này không có gì khó với nhân lực trong nước. Tôi tin tôi cũng không phải là người đầu tiên phát hiện ra các vấn đề này. Thế thì tại sao các sản phẩm công nghệ công của Việt Nam vẫn bị hoài? Tôi nghĩ mấu chốt nằm ở lỗ hổng trong tư duy.

Vá lỗ hổng phần mềm không khó bằng vá lỗ hổng tư duy. Những lỗ hổng mà tôi và người khác phát hiện rồi sẽ sửa được thôi, nhưng nếu không sửa tận gốc cách làm thì đâu lại sẽ vào đấy. Cũng may là Sổ sức khỏe hiện mới có dữ liệu của 25 triệu người - gần ¼ dân số, để đến khi nó có đầy đủ thông tin của 100% dân thì còn nguy hiểm đến chừng nào. Nhưng cũng xui là đã 25 triệu người xài rồi mới phát hiện lỗ hổng.

Thế thì làm sao để sớm phát hiện vấn đề? Không có người làm hoặc làm chưa tới thì phải mở mã nguồn, mở thiết kế, để người có chuyên môn có thể tư vấn ngay từ lúc sản phẩm chưa chạy. Sửa nhà trên bản vẽ lúc nào cũng dễ hơn xây xong hết rồi mới phát hiện cái móng bị toạc.

Làm gì cũng vậy, muốn thành công thì không chỉ phải tìm cách làm đúng, mà còn cần nhanh chóng phát hiện ra mình đang làm sai. Muốn vậy thì phải công khai, minh bạch cách mình muốn làm, tiếp nhận ý kiến, dám sai dám sửa.

Chỉ vậy thôi là dân đã đỡ khổ biết chừng nào. Đâu cần đao to búa lớn, bốn chấm không với không chấm bốn, hùng cường với mai lệ huyền. Làm có mấy cái app thôi, lỗi thì nhiều như vắt rừng mùa mưa, mà có người tuyên bố như thể đang chế tên lửa lên cung Trăng thăm chú Cuội, "super app đi ra thế giới". Thôi, xuống, đừng leo cột điện nữa, để tụi nó còn tìm đường quay lại Mỹ.

Nói thêm cho rõ, tôi chưa thấy team SSKĐT phát biểu ngông cuồng như vầy. Ngoại trừ những vấn đề an ninh, hệ thống của họ khá bài bản, hiện đại. Người làm được việc bao giờ cũng hiểu giới hạn của mình. Phát ngôn “chém gió” là tôi thấy ở một nhóm làm công nghệ quốc doanh trong nước, những kẻ đang cưa bom bằng tiền thuế.

Bạn tôi tư vấn “hay là nói chuyện với lãnh đạo của họ”. Có người còn ngỏ lời giúp chuyển thông tin. Tôi viết một lá thư gửi cho Thủ tướng Phạm Minh Chính vào sáng ngày 4/10/2021. Người quen của tôi nói Thủ tướng đã đọc và làm việc với Bộ trưởng Nguyễn Thanh Long.

Bạn tôi đã chia sẻ thông tin với một số Đại biểu Quốc hội. Tôi cũng trao đổi với một vị ĐBQH, giải thích tại sao mở mã nguồn các app quốc dân lợi nhiều hơn hại, hy vọng họ đại diện cho lợi ích của người dân và sẽ lên tiếng.

Thú thật, tôi không kỳ vọng sẽ có thay đổi gì, chừng nào thấy mới hay. Tôi vẫn làm những chuyện này, vì trách nhiệm xã hội của mình. Tôi có một niềm tin ngây thơ rằng nếu mỗi người làm tốt phần của mình, xã hội sẽ tự khắc đi lên.

Xem thêm:

* Câu hỏi thường gặp về vụ lộ dữ liệu Sổ sức khỏe điện tử

* Thư ngỏ gửi Thủ tướng Phạm Minh Chính về việc thay đổi tư duy làm app chống dịch

* (Mới cập nhật): Chi tiết lỗ hổng của Sổ sức khỏe điện tử

Cảm ơn H.P, V.H và trùm cuối đã xem qua bản nháp.

Quyền được gãi ngứa

2021-09-19T14:21:00.003-07:00

(Một phiên bản của bài này đã đăng trên VNExpress)

Làm công nghệ gần hai mươi năm, vậy mà tôi phải vã mồ hôi mới đăng ký được cho ba tôi tiêm vaccine trên Cổng tiêm chủng quốc gia.

Ba tôi đã lớn tuổi, biết xài điện thoại thông minh, tuy không thạo lắm. Ông không tự đăng ký được nên tôi phải giúp.

Đó là đầu tháng tám vừa qua. Tôi điền thông tin xong, thấy cũng thuận tiện, nhưng sau đó Cổng tiêm chủng yêu cầu "xác nhận số điện thoại". Họ gửi về điện thoại của ba tôi một mã số, phải nhập đúng mã số đó mới được đăng ký.

Tôi gọi điện từ nước ngoài về, hỏi mã số để nhập lên cổng. Ông ngơ ngác: "Mã gì con?". Tôi ngớ người, hóa ra ba tôi chưa từng nhập mã OTP để giao dịch trực tuyến. Tôi giải thích một hồi, nhấn nút "gửi lại mã" mấy lần, máy của ông vẫn không nhận được. Mỗi lần gửi mã số mới, hệ thống chỉ chờ hai phút thôi, chậm hơn là phải làm lại.

Cuối cùng, tôi quyết định cứ đăng ký bằng số khác, thầm nhủ "họ hỏi thì ráng giải thích". Đăng ký đến giờ đã hơn một tháng, chưa thấy ai gọi ba tôi đi tiêm. May thay, ông đã tiêm một mũi, đăng ký trực tiếp với tổ dân phố bằng công nghệ xưa như trái đất, tức giấy và bút. Tôi vừa thử tra thông tin của ba tôi trên Cổng tiêm chủng quốc gia, website trả lời "không tìm thấy".

Tôi là kỹ sư an ninh mạng, nhưng công việc của tôi không chỉ là làm cho sản phẩm an toàn, mà phải vừa an toàn vừa dễ sử dụng. Tôi dành nhiều thời gian suy nghĩ về trải nghiệm người dùng, làm sao cho nhanh, thuận tiện mà vẫn an toàn. Tôi hay nói với đồng nghiệp rằng, nếu mẹ tôi, và bây giờ tính luôn cả ba tôi, không dùng được thì thiết kế sản phẩm chưa đạt yêu cầu.

Nhiều năm trước, cứ mỗi vài tuần là Gmail yêu cầu người dùng nhập lại mật khẩu vì lý do an ninh. Chúng tôi quan sát thấy mỗi lần như vậy, lượng lớn người dùng một đi không trở lại, vì không nhớ mật khẩu. Mẹ tôi là một trong số đó. Thế là khá lâu rồi Gmail không còn "đòi" mật khẩu thường xuyên nữa, còn kỹ sư chúng tôi phải tính đến những phương án khác để bảo vệ người dùng.

Tôi nghĩ chắc hẳn Cổng tiêm chủng quốc gia phải có lý do mới yêu cầu "xác thực số điện thoại". Nhưng đâu phải ai muốn tiêm vaccine cũng có điện thoại di động. Và nếu có, họ chưa chắc đều hiểu "mã số xác nhận gửi qua SMS" là gì. Sau này tôi mới biết, nhà mạng khóa sim của ba tôi một chiều nên không nhận được tin nhắn.

Nếu Cổng tiêm chủng vẫn muốn xác nhận số điện thoại, một giải pháp thân thiện hơn với người dùng là gọi điện thay vì nhắn tin. Nhưng tốt nhất hãy hỏi: Liệu có cách nào bỏ xác nhận số điện thoại mà vẫn đạt được yêu cầu dữ liệu không? Tiêu chí thiết kế phải là bỏ được bước nào hay bước đó, chứ không phải thêm được bước nào thì cứ thêm.

Tôi chọn nói về Cổng tiêm chủng quốc gia, nhưng đây không phải vấn đề của riêng hệ thống này. Để viết bài này, tôi đã thử cài đặt hàng loạt app "chống dịch" của Việt Nam. Tôi thấy nhiều app cũng không sao, người dân sẵn sàng cài vài app khác nhau, miễn sao cái nào cũng chạy tốt, dễ dùng, an toàn, đảm bảo riêng tư, và, quan trọng hơn hết, phục vụ đúng nhu cầu của mọi tầng lớp.

Tôi nhấn mạnh nhu cầu vì tôi thấy có những app được tạo ra để phục vụ nhu cầu của cơ quan nhà nước hơn là người dân. Nhu cầu của dân rất đơn giản: tiêm vaccine, đi lại và nhận hỗ trợ an sinh, thất nghiệp. Câu hỏi không phải là tôi có thể làm app gì mà là người dân cần gì?

Thủ tướng mới chỉ đạo các bộ ngành thống nhất thành một ứng dụng chống dịch. Một số người đã nêu ý tưởng về một "siêu ứng dụng" của Việt Nam để "đi ra thế giới". Thật sự, chúng ta không phải đang chế tạo tên lửa để lên thăm chú Cuội trên Cung Trăng. Chúng ta chỉ đang cần một chiếc xe đạp để đi quanh trong làng thôi. Đương nhiên, muốn làm được chiếc xe đạp tốt vẫn cần phải có nghề.

Tin vui là Việt Nam có hàng trăm ngàn kỹ sư và chuyên gia phần mềm. Trong nước đã có những app, website vài chục triệu người dùng, tức là nhiều người đã biết làm cả "ô tô", nói gì "xe đạp". Các tập đoàn công nghệ lớn thế giới cũng không thiếu bóng dáng người Việt.

Những người thạo việc thường đã có việc làm tốt, bình thường chính quyền không có cách gì thu hút được họ, nhưng Covid đem đến một cơ hội. Phải cài bao nhiêu app, mà app nào cũng còn lỗi, họ cũng bức xúc, ngứa nghề chứ. Chỉ cần cho họ một cơ hội, tôi tin nhiều người sẽ nhào vào "tự gãi ngứa".

Chính quyền tạo ra cơ hội đó như thế nào? Câu trả lời, theo tôi, nằm ở mã nguồn mở và một tinh thần mở.

Phong trào phần mềm nguồn mở là một trong những sáng tạo làm nên thành công rực rỡ của giới công nghệ suốt mấy thập kỷ qua.

Không có ngành nào như ngành phần mềm, nơi các công ty thi nhau công bố tài sản trí tuệ, cho phép tất cả mọi người, kể cả đối thủ cạnh tranh, tham khảo, sử dụng lại, cải tiến tất cả thành quả sáng tạo của họ mà không lấy một xu. Nghe thì ngược đời, nhưng đây chính là cách họ cùng nhau phát triển, giúp tất cả đi nhanh hơn phần còn lại của thế giới.

Hầu hết phần mềm xương sống của Internet là phần mềm mã nguồn mở, hoặc được xây dựng dựa trên các phần mềm mã mở. Chính dòng chữ này cũng được tạo ra và đưa đến máy tính của bạn trên những phần mềm như vậy. Nói không ngoa, nếu không có sáng tạo văn hóa nguồn mở thì có lẽ chúng ta đã không có Internet như ngày hôm nay.

Vậy thì trước tiên, thay vì đóng cửa bảo nhau, âm thầm làm, nhà nước phải yêu cầu những đơn vị thực hiện các hệ thống thông tin quốc dân mở mã nguồn, mở thiết kế, công bố rộng rãi kế hoạch phát triển.

Lúc bấy giờ, ai thấy chỗ nào chưa được đều có thể tự do tham gia sửa lỗi và phát triển tính năng mới. Đây chính là cách kích thích sự sáng tạo và đóng góp từ mọi người dân, đặc biệt từ nhóm chuyên môn cao.

Năm ngoái, khi lũ lụt tàn phá miền Trung, một nhóm lập trình viên trẻ đã nhanh chóng tạo ra dự án mã nguồn mở Cứu hộ miền Trung, thu hút sự tham gia của kỹ sư Việt khắp thế giới. Họ cùng đóng góp ý kiến và hoàn thiện trang web. Nhiều kỹ sư làm việc trong các công ty "đối thủ" đã ngồi lại với nhau, chung tay vì đồng bào.

Hay như chỉ cách đây vài ngày, bạn tôi đang làm ở Amazon phát hiện một lỗ hổng bảo mật sơ đẳng trong một app tạo mã đi đường của Hà Nội, khiến ai cũng có thể làm giả mã đi đường. Nếu thiết kế của app này được công bố rộng rãi ngay từ đầu, những lỗ hổng như thế đã sớm được phát hiện và ngăn chặn. Giống như một căn nhà, sửa lỗi lúc còn trên bản vẽ bao giờ cũng dễ hơn khi đã xây xong.

Như bao phong trào cách tân khác, mã nguồn mở cũng có khi này khi nọ. Bluezone có lẽ là sản phẩm phần mềm mở đầu tiên của một cơ quan chính phủ, nhưng cách làm nửa vời khiến nó chẳng đến đâu, dù đã nhận được nhiều góp ý của cộng đồng.

Tôi là người chuyên đi tìm lỗ hổng trong phần mềm của người khác. Đến khi chuyển sang làm phần mềm nguồn mở, tôi cũng đã rất lo, vì sợ bị chê cười nếu lỡ làm sai. Nhưng rồi tôi nhận ra ai cũng có thể mắc lỗi, quan trọng là xử lý thế nào. Tôi nghiệm ra rằng mỗi lần người khác chỉ ra cái sai của mình là cơ hội để học hỏi, hoàn thiện bản thân và sản phẩm của mình.

Thành ra, mấu chốt theo tôi nằm ở tư duy cởi mở (open-mindedness). Lãnh đạo có tinh thần mở sẽ chào đón mọi người cùng tham gia, dám sai dám sửa. Còn tư duy chưa đủ mở thì có tuyên bố "app mở" cũng chỉ là bình mới rượu cũ, dễ gây cảm giác khoa trương hình thức.

Cách đây nhiều năm, giáo sư Ngô Quang Hưng đã chỉ ra rằng bằng cách tôn trọng và khuyến khích "quyền tự do tí toáy" của mỗi cá nhân, tinh thần mở tạo nền tảng và kích thích tiềm năng sáng tạo vô hạn từ cộng đồng, vì nó ghi nhận các tiếng nói cá nhân trong tiến trình phát triển.

Chính phủ đã nói nhiều về việc thu hút và sử dụng nhân tài. Dẫu không phải ai cũng muốn "làm quan" trong bộ máy nhà nước, nhưng tôi tin vẫn còn rất nhiều tấm lòng hướng về đất nước. Không riêng gì công nghệ, mở cửa tư duy và khuyến khích ai có năng lực đều có thể tham gia giải quyết các vấn đề lớn của xã hội là con đường ngắn nhất đưa Việt Nam sớm đi cùng thế giới.

Mọi thay đổi sáng tạo trên thế giới này, xét cho cùng, đều đến từ những cá nhân tâm huyết với vấn đề mà họ muốn giải quyết. Bởi có ai bị ngứa mà không muốn được quyền tự gãi?

VietBay Sponsors Newsletter 9/13/2021: 3x matching opportunities!

2021-09-13T04:47:00.007-07:00

Dear sponsors,

In the last days of August 2021, our campaign crossed the $500K milestone. This is already beyond our wildest dreams, but it doesn’t end there. Netflix employees and anonymous VietBay members have given us another 3x matching sponsorship: for every $1 you contribute, they will donate an additional $2 for up to $70,000! This is the great news that we alluded to in our last newsletter.

The new matching funds, however, are being depleted very quickly! At the time I am writing this line, we’ve successfully matched about $50K out of $70K. You still have a chance to triple up your donation if you act fast :-).

We plan to give 10,000 more food packages, 50,000 more 3M 8210 N95 masks, 20 more patient monitors, and 60 more syringe pumps. Given the great momentum we have seen, we expect the final numbers to be much greater!

Things happened

VietBay kids and friends performed live music on Castro street in downtown Mountain View and raised $950 on the spot for our campaign. With matching from their parents and parent’s employers, we are told that the expected final contribution to the campaign would be $10,000.
After staying put for two weeks due to the military-imposed lockdown, the Lotus Foundation has resumed distributing food.
During the lockdown we funded several smaller, grass-root groups to continue to deliver food, masks and PPEs to volunteers and struggling people.

Photo of the week

Doctor Lê Minh Ngọc, a Hanoi-based volunteer who is leading the COVID fight in Binh Duong, receiving supplies from VietBay and Saigon Lovers. Did you know that patients need not only medicine, but also odd supplies such as portable toilets, pillows, bed wraps, towels, milk, and fruits?

Vụ cướp khẩu trang

2021-09-07T17:08:00.011-07:00

Cập nhật 9/9/2021: đại diện Bộ KHĐT người trực tiếp tham gia dự án này đã gửi cho tôi một lá thư dài nói rằng đây là "tai nạn nghề nghiệp", "ngoài ý muốn".

Tôi thấy người viết thư cũng có ý tốt, dẫu gì cũng đã quan tâm giúp đỡ những nhóm thiện nguyện, việc xảy ra trên mặt báo có thể là ngoài ý muốn thật. Tôi bỏ đoạn nói về "đoạn tình đoạn nghĩa", vì tôi thấy họ cũng không muốn việc xảy ra như vậy.

Tôi thật sự thấy tiếc cho họ, câu chuyện hay cuối cùng bị phá hỏng vì hai chữ thành tích. Nếu là tôi, tôi sẽ chỉ viết ngắn gọn một dòng:

"Chúng tôi thấy kiều bào ở nước ngoài vất vả quyên tiền, săn mua khẩu trang, nên phụ bà con một tay trong khâu vận chuyển, để cùng nhau chung tay vì Việt Nam."

Mà người ta muốn lập thành tích để chào mừng cái gì đây trời? Chả lẽ chào mừng Việt Nam đã có mười mấy ngàn người chết vì COVID?!

Cập nhật 14/9/2021: đại diện bộ KHĐT gửi cho tôi một số thông tin chứng minh rằng họ không chủ động ngỏ lời giúp đỡ, mà là người của CTVN/SSS chủ động liên hệ nhờ họ chuyển hàng giùm. Tôi đã cập nhật lại chi tiết này.

---

Thấy Bộ Ngoại giao nhận hôi coi bộ ngon ăn, Bộ Kế hoạch Đầu tư cũng ngứa nghề:

Ngày 30/8, tại TP.HCM, Bộ Kế hoạch và Đầu tư đã tiến hành các đợt trao khẩu trang y tế N95 cho cán bộ y tế tuyến đầu tham gia phòng chống dịch Covid-19.

Trong đợt 1, Bộ Kế hoạch và Đầu tư đã trao 12.800 khẩu trang trị giá 16.452 USD cho Sở Y tế TP.HCM để chuyển tới 13 bệnh viện của Thành phố.

Còn tại đợt 2, các thành viên của Mạng lưới đổi mới sáng Việt Nam thuộc Trung tâm Đổi mới sáng tạo quốc gia, Bộ Kế hoạch và Đầu tư đã trao 40.000 khẩu trang y tế N95 trị giá gần 32.000 USD cho 58 bệnh viện trên địa bàn Thành phố.

Các đợt tặng khẩu trang này nằm trong Chương trình “Chung tay vì Việt Nam: Tặng 80.000 khẩu trang y tế N95 cho Sài Gòn” do Bộ Kế hoạch và Đầu tư bảo trợ.

Nội dung bài báo này được đăng ở nhiều nơi: Nhân Dân, Thông Tấn Xã Việt Nam, v.v. Bộ KHĐT còn làm cả poster rất hoành tráng:

Tôi được biết đây là dự án của nhóm Chung tay vì Việt Nam (CTVN) phối hợp với Stay Strong Saigon (SSS). VietBay có góp một phần tiền nhỏ và một thành viên VietBay cũng hỗ trợ việc mua và ship khẩu trang về Việt Nam.

Những anh chị em trực tiếp thực hiện dự án này hết sức tâm huyết, bỏ bê công việc để quyên từng đồng, săn mua từng hộp khẩu trang chính hãng, chỉ mong giúp được quê nhà qua cơn bể dâu.

Thế thì Bộ KHĐT đã đóng góp thế nào, sao bỗng dưng trở thành nhân vật chính?

Tôi đã nói chuyện với đại diện CTVN, SSS và VietBay. Để rộng đường dư luận tôi cũng đã hỏi đại diện của Bộ KHĐT, người trực tiếp tham gia vụ này, nhưng không nhận được câu trả lời.

Tóm lại thế này (xem giải trình của CTVN):

* Vì chuyển khẩu trang về Việt Nam khá nhiêu khê, các bạn thực hiện dự án nhờ Tổng lãnh sự SF chuyển về giùm theo đường ngoại giao (xem thêm trên Thanh Niên). Ai cũng khen Tổng lãnh sự SF làm việc đàng hoàng, không đòi hỏi gì.

* Khi hàng về đến Nội Bài, team dự án nhờ Bộ KHĐT ~~ngỏ lời~~ giúp chuyển hàng từ Hà Nội vào Sài Gòn, sau khi hàng đã được Ủy ban Người Việt Nam ở nước ngoài giúp thông quan rồi. Không có Bộ KHĐT thì hàng cũng sẽ về Sài Gòn thôi, có thể chậm một chút.

Tôi có hỏi ủa nếu Bộ KHĐT chỉ giúp chuyển hàng từ HN vào SG sao họ lại có tấm hình này:

Ảnh chụp màn hình từ bài báo trên trang Nhân Dân.

Hóa ra anh mặc PPE màu xanh và anh chụp hình là người ở CTVN và SSS. CTVN và SSS vẫn trực tiếp giao hàng, Bộ KHĐT cử người đến chụp hình lấy le thôi. Mọi người để ý chú thích ghi nguồn hình là từ Bộ KHĐT. Tức là họ đã có kế hoạch đăng báo lấy thành tích từ đầu.

Buồn cười nhất là nhờ vả như vầy thì hai bên cũng quen biết nhau, nhưng Bộ KHĐT làm một phát đoạn tình đoạn nghĩa luôn. Tầm vóc cán bộ của chúng ta không thua gì đám cò mồi chặt chém khách du lịch, chặt một lần cho đã, người ta có quay lại nữa hay không, không quan tâm, tao được phần của tao trước đã. Tội nghiệp các bạn CTVN và SSS, chắc sốc lắm, người quen mà chơi kỳ quá.

Thật sự trong lúc này ai làm gì tốt đều đáng được ghi nhận, ai giúp được gì đều đáng quý. Chuyển được hàng vào SG nhanh một hai ngày cũng là góp một tay vào nỗ lực chung. Nhưng thử hỏi bà con có cần phải phô trương lố bịch, làm ít nói nhiều, dây máu ăn phần như vầy không?

Cũng đã hơn 70 năm kể từ ngày Việt Minh nổi dậy cướp chính quyền, ai ngờ cán bộ nước nhà vẫn chưa bỏ được thói quen cướp bóc. Cướp công trơ trẽn đã đành, họ còn gây hại nữa chứ chẳng chơi. CTVN phải giải trình ngay vì họ quyên tiền của bá tánh để mua khẩu trang, không thể tự dưng gửi về VN lại thành ra hàng của Bộ KHĐT đem tặng. VietBay cũng can dự vì đã hùn tiền vào dự án này, rất may là phần của VietBay đã được chuyển trước đó rồi.

Dân đứng ra quyên tiền, mua hàng để giúp nhau, cán bộ nhà nước nhảy vào nhận hôi gây tổn hại uy tín, thế này chụp mũ chống phá chính quyền nhân dân được chưa bà con?